Kremlin ile bağlantılı hackerlar yamalanmış iOS ve Android açıklarını site ziyaretçilerini hedeflemek için kullandı

Araştırmacılar Çarşamba günü, Rusya'nın Dış İstihbarat Servisi ile olası bağlantılı saldırganların daha önce yamalanmış iOS ve Android açıklarını istismar ederek birden fazla web sitesinin ziyaretçilerini hack etmeye çalıştığını söyledi; bu siteler arasında Amerikan bağımsızlığının 250. yıl dönümüyle bağlantılı bir site de vardı. Saldırılar, cihazları profilleştirmek için enjekte edilmiş JavaScript kullandı ve ardından tarayıcı çerezlerini çalmayı, bazı durumlarda Wi-Fi parolalarını ve tam mobil cihaz verilerini hedefleyen sıfır tıklama istismar zincirleri teslim etti.

Taklit edilen ve ele geçirilen web siteleri

Taklit edilen sitelerden biri, yasa koyucular, iş dünyası yöneticileri ve en az bir eski Trump yönetimi üyesinden oluşan partizan olmayan bir gruba ait olan america250.org idi. Saldırganlar america250.holiday alan adını kaydetti ve bunu america250.org sitesine ters vekil sunucu olarak kullanarak gerçek içeriği ek kötü amaçlı JavaScript ile birlikte sundu. Sekoia araştırmacıları, bu saldırı setinin yüksek profilli bir ulusal kutlamayla bağlantısı nedeniyle web sitesini kasıtlı olarak seçmiş olabileceğini; etkinliği davet temalı hedefli oltalama kampanyaları için bir bahane olarak kullanmış olabileceğini söyledi.

İkinci site olan theowo.club, İngiltere hükümet kurumlarına, Savunma Bakanlığı ve 10 Downing Street dahil, fiziksel olarak yakın lüks bir otel olan Raffles of London OWO sitesini vekil olarak sundu. Açık kaynak raporlamasına göre Ukrayna Devlet Başkanı Volodymyr Zelenskyy, 14 Ekim'deki bir ziyaret sırasında orada kaldı. Araştırmacılar, bu watering hole saldırısının hedefli oltalama kampanyaları aracılığıyla diplomatik heyetleri ve yüksek profilli misafirleri hedeflemiş olabileceğini söyledi.

Saldırganlar ayrıca önde gelen bir Ukrayna gaz üretim şirketi ve binlerce web sitesine hizmet veren bir Ukrayna web analitiği hizmeti dahil olmak üzere ele geçirilmiş web sitelerini de kullandı.

İstismar zincirleri ve atıf

Sekoia'nın Kremlin'e atfı, hedef profillerine ve şüpheli Rus grubunun adlarından biri olan APT29'a atfedilen önceki bir saldırıya benzerliklere dayanıyor. Hackerlar üç enfeksiyon vektörü kullandı: meşru web sitelerinden gelen trafiğe doğrudan JavaScript enjeksiyonu, america250.holiday gibi vekil alan adları ve Ukrayna web analitiği hizmetinin tedarik zinciri güvenliğinin aşılması. Her durumda enjekte edilen JavaScript aynıydı.

İlk aşamada JavaScript, ziyaretçinin tarayıcısını ve cihazını profilleştirdi. Saldırganlar daha sonra bu bilgiyi, hedeften etkileşim gerektirmeyen sıfır tıklama istismar zincirlerinden birini teslim etmek için kullandı. Zincirlerden biri DarkSword idi; Google araştırmacıları bunun Türkiye'deki ticari gözetim satıcısı PARS Defense'in müşterileri ve en az iki başka tehdit aktörü tarafından kullanıldığını söyledi. Sekoia, daha yeni kampanyanın adlandırılmayan iki başka istismar zinciri kullandığını söyledi.

Kampanyada istismar edilen tüm güvenlik açıkları zaten yamalanmıştı. Saldırılar yalnızca güncel olmayan iOS veya Android sürümlerinde işe yaradı.

Kaynaklar: Ars Technica