კრემლთან დაკავშირებული ჰაკერები უკვე გამოსწორებული iOS-ისა და Android-ის ხარვეზებით საიტების სტუმრებს დაესხნენ თავს

მკვლევრებმა ოთხშაბათს განაცხადეს, რომ რუსეთის საგარეო დაზვერვის სამსახურთან შესაძლო კავშირის მქონე თავდამსხმელებმა ადრე გამოსწორებული iOS-ისა და Android-ის ხარვეზები გამოიყენეს რამდენიმე ვებსაიტის ვიზიტორებზე თავდასხმისთვის, მათ შორის ამერიკის დამოუკიდებლობის 250 წლის იუბილესთან დაკავშირებულ საიტზე. თავდასხმებისას ჩანერგილი JavaScript ადგენდა მოწყობილობის პროფილს, შემდეგ კი თავდამსხმელები უშვებდნენ zero-click ექსპლოიტ-ჯაჭვებს ბრაუზერის cookie-ების, ზოგ შემთხვევაში Wi-Fi-ის პაროლებისა და მობილური მოწყობილობის სრული მონაცემების მოსაპარად.

გაყალბებული და გატეხილი ვებსაიტები

ერთი გაყალბებული საიტი იყო america250.org, რომელიც კანონმდებლების, ბიზნეს-ხელმძღვანელების და ტრამპის ადმინისტრაციის მინიმუმ ერთი ყოფილი წევრის არაპარტიულ ჯგუფს ეკუთვნის. თავდამსხმელებმა დაარეგისტრირეს america250.holiday და ის america250.org-ის უკუ პროქსიდ გამოიყენეს, რითაც რეალურ კონტენტს დამატებული მავნე JavaScript-ით აწვდიდნენ. Sekoia-ს მკვლევრების თქმით, შესაძლოა ჯგუფმა საიტი განზრახ აირჩია ქვეყნის მასშტაბის იუბილესთან კავშირის გამო და ეს ღონისძიება მოწვევის თემატიკის მიზანმიმართული ფიშინგის კამპანიების საბაბად გამოეყენებინა.

მეორე საიტი, theowo.club, პროქსის როლში ემსახურებოდა Raffles of London OWO-ს, მდიდრულ სასტუმროს, რომელიც ფიზიკურად ახლოსაა გაერთიანებული სამეფოს სამთავრობო ინსტიტუტებთან, მათ შორის თავდაცვის სამინისტროსთან და დაუნინგ-სტრიტი 10-თან. ღია წყაროების მონაცემებით, უკრაინის პრეზიდენტი ვოლოდიმირ ზელენსკი იქ 14 ოქტომბრის ვიზიტის დროს გაჩერდა. მკვლევრების თქმით, ამ ტიპის (watering hole) შეტევა შესაძლოა მიზნად ისახავდა დიპლომატიურ დელეგაციებსა და მაღალი რანგის სტუმრებს მიზანმიმართული ფიშინგის კამპანიებით.

თავდამსხმელები ასევე იყენებდნენ გატეხილ ვებსაიტებს, მათ შორის უკრაინის ერთ-ერთ წამყვან გაზის მოპოვების კომპანიასა და უკრაინულ ვებ-ანალიტიკის სერვისს, რომელიც ათასობით ვებსაიტს ემსახურება.

ექსპლოიტ-ჯაჭვები და ატრიბუცია

Sekoia-ს მიერ კრემლზე ატრიბუცია ეფუძნება სამიზნე პროფილებს და მსგავსებას ადრინდელ თავდასხმასთან, რომელიც APT29-ს მიეწერა. APT29 სავარაუდო რუსული ჯგუფის აღსანიშნავად გამოყენებული ერთ-ერთი სახელწოდებაა. ჰაკერები იყენებდნენ ინფიცირების სამ ვექტორს: პირდაპირ JavaScript-ის ჩანერგვას ლეგიტიმური ვებსაიტებიდან მომავალ ტრაფიკში, პროქსი დომენებს, როგორიცაა america250.holiday, და უკრაინული ვებ-ანალიტიკის სერვისის მიწოდების ჯაჭვის კომპრომეტაციას. სამივე შემთხვევაში ჩანერგილი JavaScript იგივე იყო.

პირველ ეტაპზე JavaScript ადგენდა ვიზიტორის ბრაუზერისა და მოწყობილობის პროფილს. შემდეგ თავდამსხმელები ამ ინფორმაციის გამოყენებით უშვებდნენ სამი zero-click ექსპლოიტ-ჯაჭვიდან ერთ-ერთს, რომლებიც სამიზნის ურთიერთქმედების გარეშე მუშაობენ. ერთი ჯაჭვი იყო DarkSword, iOS-ის ექსპლოიტ-კიტი, რომელიც, Google-ის მკვლევრების თქმით, გამოიყენეს PARS Defense-ის, თურქეთში მოქმედი კომერციული მეთვალყურეობის პროდუქტების მიმწოდებლის, მომხმარებლებმა და მინიმუმ ორმა სხვა საფრთხის აქტორმა. Sekoia-ს თქმით, უფრო ახალმა კამპანიამ გამოიყენა ორი სხვა ექსპლოიტ-ჯაჭვი, რომლებიც არ დასახელდა.

კამპანიაში გამოყენებული ყველა ხარვეზი უკვე გამოსწორებული იყო. თავდასხმა მუშაობდა მხოლოდ iOS-ის ან Android-ის მოძველებულ ვერსიებზე.

წყაროები: Ars Technica