Хакери, пов'язані з Кремлем, використовували виправлені вразливості iOS та Android для атак на відвідувачів сайтів

Дослідники повідомили в середу, що нападники, можливо пов'язані зі Службою зовнішньої розвідки Росії, використали раніше виправлені вразливості iOS та Android у спробі зламати відвідувачів кількох сайтів, зокрема пов'язаного з 250-ю річницею незалежності США. Атаки використовували впроваджений JavaScript для профілювання пристроїв, а потім доставляли ланцюжки експлойтів без кліку, призначені для крадіжки файлів cookie браузера, а в деяких випадках паролів Wi-Fi та повних даних мобільних пристроїв.

Підроблені та скомпрометовані сайти

Один із підроблених сайтів був america250.org, що належить непартійній групі законодавців, керівників бізнесу та щонайменше одному колишньому члену адміністрації Трампа. Нападники зареєстрували america250.holiday і використовували його як зворотний проксі до america250.org, доставляючи справжній вміст із доданим шкідливим JavaScript. Дослідники Sekoia заявили, що угруповання могло навмисно вибрати цей сайт через його зв'язок із високопрофільним національним святкуванням, потенційно використовуючи подію як привід для цілеспрямованих фішингових кампаній із тематикою запрошень.

Другий сайт, theowo.club, проксував Raffles of London OWO, розкішний готель, фізично розташований поблизу урядових установ Великої Британії, зокрема Міністерства оборони та резиденції 10 Downing Street. Відкриті джерела вказують, що президент України Володимир Зеленський зупинявся там під час візиту 14 жовтня. Дослідники заявили, що сайт-приманка міг намагатися націлитися на дипломатичні делегації та високопосадових гостей через цілеспрямовані спірфішингові кампанії.

Нападники також використовували скомпрометовані сайти, зокрема провідну українську газовидобувну компанію та український вебаналітичний сервіс, що обслуговує тисячі сайтів.

Ланцюжки експлойтів та атрибуція

Атрибуція Sekoia щодо Кремля ґрунтується на профілях цілей та схожості з попередньою атакою, яку приписали APT29, однією з назв підозрюваної російської групи. Хакери використовували три вектори зараження: пряме впровадження JavaScript у трафік із легітимних сайтів, проксі-домени на кшталт america250.holiday та компрометацію ланцюга постачання українського вебаналітичного сервісу. У кожному випадку впроваджений JavaScript був тим самим.

На першому етапі JavaScript профілював браузер і пристрій відвідувача. Потім нападники використовували цю інформацію для доставки одного з трьох ланцюжків експлойтів без кліку, які працюють без взаємодії з ціллю. Одним із ланцюжків був DarkSword, набір експлойтів для iOS, про який дослідники Google заявили, що його використовували клієнти PARS Defense, комерційного постачальника засобів стеження з Туреччини, та щонайменше два інші актори загроз. Sekoia заявила, що новіша кампанія використовувала два інші ланцюжки експлойтів, які не були названі.

Усі вразливості, використані в кампанії, вже були виправлені. Атаки працювали лише на застарілих версіях iOS або Android.

Джерела: Ars Technica