Piratas ligados à Rússia infetaram iPhones e Android desatualizados com sites pirateados

Piratas informáticos ligados à Rússia infetaram iPhones e telemóveis Android através de sites comuns: num telemóvel desatualizado bastava abrir uma página infetada, sem tocar nem descarregar mais nada. Os investigadores da empresa francesa de segurança Sekoia, que detetaram a campanha em meados de outubro, atribuem-na com «confiança moderada a elevada» ao APT29, um grupo ligado aos serviços de informações russos e também conhecido como Midnight Blizzard, segundo o relatório publicado a 4 de novembro. A Apple e a Google já tinham corrigido todas as falhas usadas antes de a campanha começar, por isso as vítimas são pessoas que não atualizaram o telemóvel.

Sites verdadeiros como isco

Este tipo de ataque chama-se watering hole: em vez de enviar um link malicioso, os piratas esperam pelos alvos em sites que estes já visitam. A Sekoia encontrou código malicioso injetado nos sites de uma produtora de gás ucraniana, de uma associação do setor químico dos EUA, de um site búlgaro de temática militar, de um partido político europeu de extrema-direita, de um movimento checo de extrema-direita e de uma clínica médica australiana.

Os atacantes criaram também cópias de dois sites verdadeiros, que reencaminhavam o conteúdo original. Uma imitava o America250, o site oficial das celebrações dos 250 anos dos EUA. A outra copiava o site do hotel Raffles London at The OWO; a Sekoia acredita que se destinava a delegações diplomáticas e convidados de alto nível.

A rede mais larga veio de um ataque à cadeia de fornecimento. Entre 27 de agosto e 3 de setembro, o script de monitorização do serviço ucraniano de análise web Plerdy foi alterado para carregar o código dos atacantes. Segundo a Sekoia, esse script corre em «milhares de sites, a grande maioria ucranianos», pelo que qualquer pessoa que tenha aberto um deles num telemóvel vulnerável nessa semana pode ter sido exposta.

O que o ataque levava dos telemóveis

Primeiro, um script na página recolhia a impressão digital do dispositivo e do navegador; depois, o servidor dos atacantes enviava uma cadeia de exploits adequada ao telemóvel. A Sekoia descreve três cadeias:

• iOS 16 e primeiras versões do iOS 17: roubo de cookies do Safari e de aplicações, que podem permitir entrar numa conta sem palavra-passe.
• iOS 18.5: quase tudo: SMS, iMessage, mensagens do WhatsApp e do Telegram, palavras-passe do porta-chaves, e-mail, contactos, histórico de chamadas, notas, dados de localização, dados da app Saúde, fotos e ficheiros do iCloud Drive.
• Android, Chrome das versões 139 a 145 (exceto a 143): cookies e credenciais guardadas do Chrome, histórico de navegação e palavras-passe de Wi-Fi guardadas.

A cadeia do iOS 18 coincide em parte com o DarkSword, um kit de exploits para iPhone que a Google, a iVerify e a Lookout descreveram em março e que vários grupos, incluindo vendedores de spyware, usam desde pelo menos novembro de 2025. A Sekoia acredita que os exploits vieram provavelmente do kit de um fornecedor comercial de vigilância.

Nenhuma das cargas maliciosas ficava instalada no telemóvel: reiniciar põe fim à infeção até o aparelho voltar a abrir uma página infetada, nota o BleepingComputer. Mas os dados copiados antes do reinício já foram levados.

Quem era o alvo

O APT29 costuma visar governos, diplomatas e alvos da defesa, e a lista de sites encaixa nesse padrão. Ainda assim, a Sekoia afirma que «continua por esclarecer» se os piratas procuravam os visitantes de sites específicos ou simplesmente qualquer telemóvel sem atualizações ao seu alcance. Ao contrário de uma campanha semelhante do APT29 em 2024, esta não tinha filtro e recolhia cookies de qualquer navegador. Os seus operadores procuram constantemente novas formas de chegar aos dispositivos: em agosto, a Microsoft relatou que um subgrupo do mesmo grupo sequestrava as páginas de acesso ao Wi-Fi de hotéis para distribuir malware disfarçado de atualização do navegador.

Como proteger o telemóvel

• Instale a atualização mais recente do iOS ou do Android. Segundo a Sekoia, «um utilizador com o sistema operativo atualizado está a salvo destes ataques». Se o seu iPhone já não recebe a versão mais recente do iOS, instale a última atualização que a Apple disponibiliza para ele: algumas correções foram levadas para versões antigas.
• No Android, atualize o Chrome à parte no Google Play, porque o ataque começa no navegador.
• Se o telemóvel estava desatualizado e visitou sites ucranianos no final de agosto ou início de setembro, termine todas as sessões nas suas contas principais e mude as palavras-passe importantes: os cookies roubados continuam válidos até o fazer.
• Reiniciar acaba com esta infeção concreta, mas não fecha as falhas nem devolve os dados roubados, por isso não substitui a atualização.
• Uma VPN não ajuda aqui: o código malicioso chega de sites verdadeiros por ligações cifradas normais, e uma VPN só muda o caminho do seu tráfego.
• Jornalistas, funcionários públicos e ativistas devem ativar o modo de bloqueio (Lockdown Mode) no iPhone. A Apple avisou recentemente deputados alemães de que os seus telemóveis tinham sido alvo de spyware.