Hacker legati alla Russia hanno infettato iPhone e Android non aggiornati con siti violati

Hacker legati alla Russia hanno infettato iPhone e smartphone Android attraverso normali siti web: su un telefono non aggiornato bastava aprire una pagina infetta, senza toccare né scaricare altro. I ricercatori della società francese di sicurezza Sekoia, che hanno individuato la campagna a metà ottobre, la attribuiscono con «fiducia da moderata ad alta» ad APT29, un gruppo legato all'intelligence russa e noto anche come Midnight Blizzard, secondo il loro rapporto pubblicato il 4 novembre. Apple e Google avevano già corretto tutte le falle sfruttate prima dell'inizio della campagna: le vittime sono quindi persone che non avevano aggiornato il telefono.

Siti veri come esca

Questo tipo di attacco si chiama watering hole: invece di inviare un link malevolo, gli hacker aspettano i bersagli sui siti che questi visitano comunque. Sekoia ha trovato codice malevolo iniettato nei siti di un produttore di gas ucraino, di un'associazione di categoria dell'industria chimica statunitense, di un sito bulgaro a tema militare, di un partito politico europeo di estrema destra, di un movimento ceco di estrema destra e di una clinica medica australiana.

Gli aggressori hanno anche creato copie di due siti veri, che inoltravano il contenuto originale. Una imitava America250, il sito ufficiale delle celebrazioni per i 250 anni degli Stati Uniti. L'altra copiava il sito dell'hotel Raffles London at The OWO; secondo Sekoia puntava a delegazioni diplomatiche e ospiti di alto profilo.

La rete più ampia l'ha gettata un attacco alla catena di fornitura. Dal 27 agosto al 3 settembre lo script di tracciamento del servizio ucraino di analisi web Plerdy è stato modificato per caricare il codice degli aggressori. Secondo Sekoia, lo script gira su «migliaia di siti, in grande maggioranza ucraini»: chiunque ne abbia aperto uno da un telefono vulnerabile in quella settimana può essere stato esposto.

Cosa prendeva l'attacco dai telefoni

Prima uno script sulla pagina rilevava l'impronta del dispositivo e del browser, poi il server degli aggressori inviava una catena di exploit adatta a quel telefono. Sekoia descrive tre catene:

• iOS 16 e prime versioni di iOS 17: furto dei cookie di Safari e delle app, che possono permettere di entrare in un account senza password.
• iOS 18.5: quasi tutto: SMS, iMessage, messaggi WhatsApp e Telegram, password del portachiavi, email, contatti, registro chiamate, note, dati sulla posizione, dati Salute, foto e file di iCloud Drive.
• Android, Chrome dalla versione 139 alla 145 (tranne la 143): cookie e credenziali salvate di Chrome, cronologia di navigazione e password Wi-Fi salvate.

La catena per iOS 18 si sovrappone a DarkSword, un kit di exploit per iPhone che Google, iVerify e Lookout hanno descritto a marzo e che diversi gruppi, tra cui venditori di spyware, usano almeno da novembre 2025. Sekoia ritiene che gli exploit provengano probabilmente dal kit di un fornitore commerciale di sorveglianza.

Nessuno dei payload restava installato sul telefono: un riavvio interrompe l'infezione finché il dispositivo non visita di nuovo una pagina infetta, osserva BleepingComputer. Ma i dati copiati prima del riavvio sono già persi.

Chi era il bersaglio

APT29 di solito prende di mira governi, diplomatici e obiettivi della difesa, e l'elenco dei siti rientra in questo schema. Sekoia scrive però che «resta poco chiaro» se gli hacker cercassero i visitatori di siti specifici o semplicemente qualsiasi telefono non aggiornato alla loro portata. A differenza di una campagna simile di APT29 nel 2024, questa non aveva filtri e raccoglieva i cookie di qualsiasi browser. I suoi operatori cercano di continuo nuove vie d'accesso ai dispositivi: ad agosto Microsoft ha riferito che un sottogruppo dello stesso gruppo dirottava le pagine di accesso al Wi-Fi degli hotel per diffondere malware travestito da aggiornamento del browser.

Come proteggere il telefono

• Installate l'ultimo aggiornamento di iOS o Android. Secondo Sekoia, «un utente con il sistema operativo aggiornato è al sicuro da questi attacchi». Se il vostro iPhone non riceve più l'ultima versione di iOS, installate l'aggiornamento più recente che Apple offre per quel modello: alcune correzioni sono state portate anche sulle versioni precedenti.
• Su Android aggiornate Chrome a parte da Google Play, perché l'attacco parte dal browser.
• Se il telefono non era aggiornato e tra fine agosto e inizio settembre avete visitato siti ucraini, chiudete tutte le sessioni dei vostri account principali e cambiate le password importanti: i cookie rubati restano validi finché non lo fate.
• Un riavvio chiude questa specifica infezione, ma non corregge le falle e non restituisce i dati rubati: non sostituisce l'aggiornamento.
• Una VPN qui non aiuta: il codice malevolo arriva da siti veri tramite normali connessioni cifrate, e una VPN cambia solo il percorso del traffico.
• Giornalisti, funzionari e attivisti farebbero bene ad attivare la modalità di isolamento (Lockdown Mode) su iPhone. Di recente Apple ha avvisato alcuni deputati tedeschi che i loro telefoni erano stati presi di mira da uno spyware.