Связанные с Кремлем хакеры атаковали пользователей через уязвимости iOS и Android
Исследователи Sekoia обнаружили кампанию с поддельными сайтами, скомпрометированными ресурсами и эксплойтами, не требующими действий со стороны жертвы
Один основной источник · Как мы проверяем новости
Что произошло
Исследователи Sekoia сообщили о кампании, в которой хакеры, возможно связанные с Кремлем, атаковали посетителей нескольких сайтов через ранее исправленные уязвимости iOS и Android.
Злоумышленники зарегистрировали america250[.]holiday и использовали его как обратный прокси для america250.org. Поддельный ресурс загружал содержимое настоящего сайта и добавлял в него вредоносный JavaScript.
Как работала атака
Еще один домен, theowo[.]club, проксировал сайт отеля Raffles London at The OWO. Исследователи считают, что такая схема могла использоваться для атак на дипломатические делегации и высокопоставленных гостей.
Атаки также проходили через скомпрометированные сайты, включая сайт крупной украинской газодобывающей компании, и через украинский сервис веб-аналитики, обслуживающий тысячи сайтов.
Хакеры применяли три способа доставки: прямую инъекцию JavaScript в трафик легитимных сайтов, прокси-домены и компрометацию цепочки поставок сервиса веб-аналитики. Внедренный JavaScript во всех случаях был одинаковым: сначала он собирал сведения о браузере и устройстве посетителя, а затем злоумышленники использовали эти сведения для доставки одной из трех цепочек эксплойтов, не требующих взаимодействия с целью.
Почему это важно
Кампания продемонстрировала, как поддельные копии известных сайтов и взломанные веб-сервисы можно использовать для скрытой доставки вредоносного кода посетителям.
Одна из цепочек, DarkSword, предназначена для атак на iOS. По данным исследователей Google, ее использовали клиенты PARS Defense, коммерческого поставщика средств наблюдения в Турции, и как минимум еще две группы угроз.
Что известно о связи с Кремлем
Sekoia связала кампанию с Кремлем на основании профилей целей и сходства с предыдущей атакой, которую приписывали APT29 — одному из обозначений предполагаемой российской группы.
Исследователи подчеркнули, что все уязвимости уже были исправлены. Успешная атака была возможна только на устройствах с устаревшими версиями iOS или Android.
Источники
Один основной источник. Как мы проверяем новости
