APT29 разкрива операцията срещу мобилни устройства
Хакерската група APT29, свързана със Службата за външно разузнаване на Русия, е провела мащабна кибератака срещу потребители на смартфони с Android и iOS, която е засегнала и България. Френската компания за киберсигурност Sekoia разкри операцията в средата на октомври тази година. Сред компрометираните интернет страници е български сайт, свързан с военната сфера, макар името и адресът му да не се разкриват в разследването. Не става ясно дали конкретни посетители на този сайт са били успешно атакувани.
Експертите приписват кампанията със средна до висока степен на увереност на APT29, която е позната още под имената Midnight Blizzard и Cozy Bear. Разпространението на зловредния код става по три основни метода: чрез пробив в легитимни уебсайтове, чрез изграждане на фалшиви страници, които копират известни платформи, и чрез компрометиране на украинска услуга за уебанализ. В случая с българския военен сайт атакуващите са модифицирали вече съществуваща JavaScript библиотека, вграждайки в нея зловреден код, който пренасочва потребителите към инфраструктура под контрола на хакерите.
Най-тежък е проблемът с украинската платформа за уебанализ Plerdy. В периода от 27 август до 3 септември зловреден код е бил внедрен в инструмент на тази платформа, който се ползва от хиляди сайтове, главно украински. Сред тях се намират ресурси, свързани с армията, специалните части и производители на военно оборудване, включително безпилотни летателни апарати. Така посетителите на легитимни сайтове са били изложени на риск, без да правят нищо повече от нормалното сърфиране.
Как работят атаките и каква информация целят
Когато потребител влезе в компрометиран сайт, зловредният код разпознава операционната система и браузърната версия. На база тази информация сървърът на атакуващите може сам да стартира съответната атака спрямо уязвимото устройство. При някои версии на iOS са приложени инструменти за извличане на бисквитки от браузъра, които дават на нападателите възможност да проникнат в активни потребителски сесии, в това число и в електронна поща. За останалите версии на операционната система е бил задействан DarkSword — инструмент, който може да изтегли значително по-обширен обем данни: SMS съобщения, информация от iMessage, WhatsApp и Telegram, съхранени пароли, снимки, контакти, данни за локация и здравна информация.
Насочените атаки към Android засягат конкретни версии на браузъра Chrome. Експлоатираните уязвимости дават възможност за отнемане на запазени данни за вход в профили, история на разглежданите страници и пароли за безжични мрежи. Според уточненията на изследователите производителите са отстранили тези уязвимости още преди старта на кампанията. Поради това атаките попадат върху устройства без инсталирани нужните поправки за сигурност. Това е сериозен пропуск от страна на потребителите, които пренебрегват ъпдейтите.
В рамките на операцията са създадени фалшиви копия на сайта на американската инициатива America250, посветена на 250-годишнината от независимостта на САЩ, както и на лондонския хотел Raffles London, който се помещава в историческата сграда на британското военно министерство. Обектът е разположен в непосредствена близост до важни британски държавни институции, сред които Министерството на отбраната и резиденцията на министър-председателя на Даунинг стрийт 10. Специалистите смятат, че фалшивата страница вероятно е била замислена за атакуване на дипломати и гости на високо ниво.
От Sekoia посочват, че към момента не е установено дали нападателите са целели определени лица, или са се опитвали да съберат максимално много информация от незащитени мобилни устройства. Френската фирма си сътрудничи с националните екипи за реагиране при компютърни инциденти в засегнатите държави, в това число Украйна, с цел идентифициране на евентуалните жертви и неутрализиране на инфраструктурата, експлоатирана за атаките.
