Зловредният код атакува необновени смартфони в няколко държави

Хакерската група APT29, свързвана с руското външно разузнаване, е компрометирала български интернет сайт от военната сфера като част от мащабна шпионска операция срещу потребители на смартфони с операционни системи Android и iOS, съобщават от френската компания за киберсигурност „Секоя“, цитирани от БГНЕС.

Кибератаката е разкрита в средата на октомври тази година, а основната цел на извършителите е кражба на пароли, лични съобщения, електронна поща и данни за местоположението на жертвите.

Капан в легитимни сайтове и украинска платформа

Експертите по киберсигурност посочват със средна до висока степен на увереност, че зад операцията стои структурата APT29, позната в международните среди още като Midnight Blizzard и Cozy Bear. Групата от години се свързва със Службата за външно разузнаване на Русия (СВР). Вместо да разчитат на класически измами с подозрителни файлове, този път хакерите превръщат редовно посещавани интернет страници в невидим капан.

Разследването на „Секоя“ установява три основни канала за разпространение на зловредния код: директен пробив в истински уебсайтове, изграждане на фалшиви копия на популярни платформи и компрометиране на външна услуга за уебанализ. Сред поразените мишени освен българския военен портал попадат още сайтът на украинска газодобивна компания, интернет страница от химическата индустрия на САЩ и порталът на европейска крайнодясна политическа партия.

При удара срещу българския сайт нападателите са модифицирали съществуваща JavaScript библиотека, вграждайки в нея шпионски код. Тази намеса позволява всеки посетител на страницата да бъде пренасочен автоматично и незабелязано към сървъри под контрола на хакерите. От френската компания не разкриват името и точния адрес на засегнатия български ресурс, като към момента няма официална информация дали конкретни негови читатели са били успешно заразени.

Още по-мащабен е пробивът в украинската платформа за уебанализ Plerdy. В периода между 27 август и 3 септември хакерите са внедрили зловреден код в неин инструмент, който се използва от хиляди предимно украински уебсайтове. Сред тях са страници, пряко свързани с армията, специалните части и производителите на военно оборудване и безпилотни летателни апарати. По този начин обикновеното отваряне на новинарски или ведомствен сайт се оказва достатъчно, за да изложи телефона на потребителя на риск.

Кражба на чатове, пароли и здравни данни

Механизмът на атаката действа за секунди. При отваряне на заразената страница скритият код проверява операционната система и точната версия на интернет браузъра на телефона. Веднага след това сървърът на нападателите избира и задейства подходящ инструмент за пробив спрямо откритите слабости на устройството.

За определени версии на операционната система iOS хакерите използват програми за извличане на бисквитки от браузъра. Това им дава директен достъп до вече отворени потребителски профили и електронни пощи без нужда от повторно въвеждане на парола. При други модификации на същата система се включва специализираният инструмент DarkSword, който прибира огромен обем лична информация: стандартни текстови съобщения, чатове от приложенията iMessage, WhatsApp и Telegram, запазени пароли, снимки, телефонни контакти, локация и дори здравни данни.

Потребителите на Android са атакувани основно през конкретни версии на браузъра Chrome. При тях пробивът позволява източване на запаметени данни за вход в различни профили, пълната история на сърфирането в интернет и паролите за безжични Wi-Fi мрежи.

От „Секоя“ подчертават ключов детайл: всички използвани от хакерите пробойни в сигурността са били известни и вече отстранени от технологичните производители преди началото на шпионската кампания. Успехът на атаката разчита изцяло на това, че много потребители отлагат или пропускат инсталирането на системните актуализации на телефоните си.

Примамки за дипломати и реакция в САЩ

Освен пробивите в реални сайтове операцията включва и създаването на прецизни фалшиви двойници на знакови интернет страници. Една от тях имитира американската инициатива America250, посветена на 250-годишнината от независимостта на САЩ. Другата фалшива страница копира сайта на луксозния хотел „Рафълс Лондон“, който се помещава в историческата сграда на британското военно министерство. Самият хотел е разположен в непосредствена близост до Министерството на отбраната в Лондон и до резиденцията на британския министър-председател на улица „Даунинг стрийт“ 10, което навежда разследващите на мисълта, че капанът е заложен специално за дипломати и високопоставени гости.

Към този етап специалистите не могат да потвърдят дали APT29 е преследвала предварително набелязани конкретни личности, или целта е била масово събиране на данни от възможно най-много незащитени смартфони. Френската компания вече работи съвместно с националните екипи за реакция при компютърни инциденти в засегнатите държави, включително в Украйна, за да се установят жертвите и да се блокира хакерската инфраструктура.

Междувременно на 4 ноември американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) добави една от използваните в кампанията уязвимости в своя официален каталог на активно експлоатираните рискове. Американското ведомство потвърди реалните атаки чрез тази пробойна, макар официално да не посочи извършителите и да не обвърза решението си директно с доклада срещу APT29. Експертите съветват всички потребители незабавно да обновят операционните системи и браузърите на мобилните си телефони, тъй като наличните актуализации напълно блокират действието на шпионския софтуер.