Hakeri povezani s Rusijom hakirali posjetioce sajtova preko zakrpljenih ranjivosti iOS i Androida

Hakeri koje istraživači, uz ocjenu pouzdanosti "umjerene do visoke", povezuju s ruskom Službom vanjske obavještajne, iskoristili su ranije zakrpljene ranjivosti iOS i Android sistema u pokušaju hakiranja posjetilaca više sajtova — među njima i jednog posvećenog 250. godišnjici američke nezavisnosti, saopćili su istraživači srijedom. Meta napada bili su i drugi sajtovi, od kojih mnogi imaju veze s tekućim ratom Rusije protiv Ukrajine.

Istraživači firme za kibersigurnost Sekoia objasnili su da povezivanje napadača s Kremljom zasnivaju na profilu ciljanih žrtava te na sličnostima s ranijim napadom koji je pripisan grupi poznatoj kao APT29 — jednom od naziva pod kojima se ta sumnjiva ruska grupa prati u sigurnosnim krugovima.

Kako su funkcionisali napadi

Napad je počinjao u trenutku kada bi korisnik iPhonea ili Android uređaja otvorio jedan od, potencijalno, nekoliko stotina različitih sajtova. U saobraćaj bi se ubrizgao JavaScript kod koji je "profilirao" posjetiočev uređaj i preglednik. Na osnovu prikupljenih informacija napadači bi zatim isporučili jedan od tri "zero-click" lanca eksploatacije — takvi napadi ne zahtijevaju nikakvu interakciju žrtve. Krajnji plijen bili su kolačići preglednika, a u određenim slučajevima i Wi-Fi lozinke te kompletni podaci s mobilnog uređaja.

Imitirani sajtovi

Jedna od stranica koje su napadači imitirali bila je america250.org, koja pripada nepartijskoj grupi okupljenoj oko zakonodavaca, poslovnih rukovodilaca i barem jednog bivšeg člana Trumpove administracije. Napadači su registrovali domenu america250[.]holiday i preko nje, kao reverznog proksija, preusmjeravali korisnike na pravi sajt — uz ubrizgan zlonamjerni JavaScript u sadržaj.

"Ocjenjujemo da je grupa možda namjerno odabrala ovaj sajt zbog njegove povezanosti s visokoprofilnom nacionalnom proslavom, koja se potencijalno mogla iskoristiti kao povod za phishing kampanje s pozivnicama", rekli su istraživači Sekoie.

Napadači su, između ostalog, postavili i stranicu theowo[.]club, koja je proksirala sajt luksuznog hotela Raffles London at The OWO. Hotel se fizički nalazi u blizini nekih od najosjetljivijih britanskih vladinih institucija, poput Ministarstva odbrane i 10 Downing Street, službene rezidencije i ureda britanskog premijera. Prema otvorenim izvorima, u tom je hotelu za vrijeme posjete 14. oktobra odsjeo ukrajinski predsjednik Zelenski.

"Imitacijom hotela Raffles London at The OWO grupa je mogla ciljati diplomatske delegacije i istaknute goste kroz ciljane phishing kampanje", navode istraživači.

Napadi su, osim preko ovih sajtova, vršeni i putem kompromitovanih stranica — među kojima je i vodeća ukrajinska kompanija za proizvodnju gasa — te preko ukrajinske web analitičke službe koja opslužuje hiljade sajtova. Ukupno su napadači koristili tri vektora zaraze: direktnu injekciju JavaScripta u saobraćaj legitimnih sajtova, proxy domene poput america250[.]holiday i kompromitaciju lanca snabdijevanja preko analitičke službe. Ubrizgani JavaScript bio je, međutim, u svim slučajevima identičan.

Lanci eksploatacije

Jedan od lanaca eksploatacije nosi naziv DarkSword — komplet za napade na iOS za koji Sekoia navodi da su ga koristili klijenti turskog komercijalnog prodavca špijunskog softvera PARS Defense te najmanje dvije druge prijeteće grupe. U novijoj kampanji, kako Sekoia dodaje, korišćena su još dva lanca eksploatacije čija imena nisu objavljena.

Valja istaći da su svi propusti iskorišćeni u kampanji takozvani "n-days" — ranjivosti koje su već zakrpljene. To znači da su napadi mogli uspjeti isključivo na zastarjelim, neažuriranim verzijama iOS i Android sistema.