Дослідники: пов’язані з РФ хакери били по iOS та Android через підмінені сайти
Sekoia повідомила про кампанію, у якій зловмисники, ймовірно пов’язані зі Службою зовнішньої розвідки РФ, використовували вже виправлені вразливості iOS та Android для зламу відвідувачів низки сайтів.
Дослідники Sekoia заявили, що хакери, яких з «помірною–високою впевненістю» пов’язують зі Службою зовнішньої розвідки РФ, експлуатували раніше закриті вразливості iOS та Android, щоб інфікувати смартфони відвідувачів десятків і навіть сотень сайтів.
Як працювала атака
Сценарій запускався, щойно користувач iPhone або Android переходив на один із підмінених ресурсів. У трафік впорскувався JavaScript, який профілював пристрій, після чого на нього доставлялися підібрані під платформу навантаження.
Фінальні пейлоади намагалися викрасти файли cookie браузера, а в окремих випадках — паролі до Wi‑Fi та повні дані мобільного пристрою.
Мішені та приводи для фішингу
За даними компанії, частина цілей була пов’язана з поточною війною Росії проти України. Одну з приманок зловмисники, ймовірно, обрали через її асоціацію з масштабним національним ювілеєм у США — це дало підставу для листів‑запрошень у спірфішингових кампаніях.
Підміна високопрофільних сайтів
Одним з імпостер‑ресурсів став america250[.]holiday, який працював як зворотний проксі до america250.org — сайту неурядової ініціативи, присвяченої 250‑й річниці підписання Конституції США. Проксі підмішував у легітимний контент шкідливий JavaScript.
Ще один домен — theowo[.]club — проксійно дублював сайт Raffles of London OWO, розкішного готелю поруч із чутливими держінституціями Великої Британії, зокрема Міністерством оборони та 10 Downing Street. Відкриті джерела вказують, що президент України Володимир Зеленський зупинявся там під час візиту 14 жовтня.
Що відомо про масштаби
Sekoia оцінює, що кампанія охоплювала потенційно сотні вебсайтів. Хакери спрямовували різні варіанти навантажень залежно від платформи, націлюючись на крадіжку облікових даних і даних пристрою. Інших технічних деталей дослідники не розкривають.
