Хакерите са ловували единствено устройства, чиито собственици са пропуснали да инсталират последните актуализации
Шпионска операция, насочена срещу потребители на iOS и Android устройства в САЩ, Украйна, Чехия и България, бе разкрита от френската компания за киберсигурност Sekoia TDR. Разследването сочи със средна до висока степен на увереност, че зад атаките стои прословутата хакерска група APT29 (известна още като Midnight Blizzard и Cozy Bear), която се свързва със Службата за външно разузнаване на Русия.
Вместо да подмамват жертвите си да теглят съмними файлове, нападателите са приложили коварна тактика, като са инфектирали вече съществуващи легитимни платформи, клонирали са популярни уебсайтове и са извършили пробив по веригата за доставки. Сред поразените цели е и български интернет сайт, свързан с военната сфера, чрез който посетителите са били пренасочвани към хакерска инфраструктура. Името на българския сайт и броят на евентуалните жертви у нас все още не се съобщават официално.
Механизмът на инфекцията
Хакерите са заложили три основни капана за интернет потребителите, включващи директно инжектиране на зловреден JavaScript код в реални сайтове, създаване на фалшиви домейни за прихващане на трафика и компрометиране на украинската платформа за уеб анализи Plerdy. Пробивът в Plerdy е бил особено критичен, тъй като в края на лятото зловредният код е засегнал инструмента на компанията, интегриран в хиляди сайтове. Повечето от тях са били на украински производители на дронове, военни поделения и специални части, излагайки потребителите на риск само при обикновено разглеждане на страниците. Веднъж щом даден потребител отвори засегната страница, кодът мигновено сканира операционната система и браузъра му, за да изпрати автоматично специфичен пакет от вируси без необходимост от каквото и да е действие от страна на жертвата.
Дипломатически капани и откраднати данни
Кампанията е включвала и изграждането на фалшиви копия на уебсайта America250, посветен на независимостта на САЩ, както и на уебстраницата на луксозния лондонски хотел „Рафълс Лондон“. Тъй като хотелът се намира в историческата сграда на британското военно министерство и е в непосредствена близост до Даунинг стрийт 10, експертите смятат, че клонираният сайт е бил предназначен за шпионаж на висши дипломати и държавници. Още по-притеснителен е фактът, че сред мишените са били и уебсайт от американската химическа индустрия, европейска крайнодясна партия и украинска газодобивна компания.
При успешна атака срещу по-стари версии на iOS, киберпрестъпниците са използвали инструмента DarkSword, който е извличал масиран обем от лична информация, включително чатове от WhatsApp, Telegram и iMessage, SMS съобщения, контакти, снимки, пароли, локация и здравни показатели. При други версии на операционните системи атаката е била насочена към кражба на бисквитки за достъп до активни имейл сесии без парола, история на сърфирането и пароли за Wi-Fi мрежи.
Каква е защитата?
Всички експлоатирани от APT29 слабости в сигурността всъщност са били официално отстранени от производителите преди началото на кампанията. Това означава, че хакерите са ловували единствено устройства, чиито собственици са пропуснали да инсталират последните актуализации. Във връзка с кампанията американската Агенция за киберсигурност и сисурност на инфраструктурата официално добави една от изследваните уязвимости в списъка си с активно експлоатирани заплахи, потвърждавайки реални атаки на терен.
В момента френските изследователи си сътрудничат с националните екипи за киберсигурност в засегнатите държави, за да локализират жертвите и да неутрализират шпионската мрежа. Основната препоръка към потребителите остава незабавното обновяване на операционните системи и браузърите до последната им версия.
