Связанные с Россией хакеры заражали необновлённые iPhone и Android через взломанные сайты
Связанные с Россией хакеры заражали iPhone и Android-смартфоны через обычные сайты: на устаревшем телефоне достаточно было открыть заражённую страницу, ничего не нажимая и не скачивая. Исследователи французской компании Sekoia, заметившие кампанию в середине октября, с «умеренной или высокой уверенностью» приписывают её группировке APT29, которую связывают с российской разведкой и также называют Midnight Blizzard, говорится в отчёте, опубликованном 4 ноября. Все использованные уязвимости Apple и Google закрыли ещё до начала атак, так что жертвами становились те, кто не обновлял телефон.
Настоящие сайты как приманка
Такую атаку называют «водопоем» (watering hole): хакеры не рассылают вредоносные ссылки, а ждут жертв на сайтах, которые те и так посещают. Sekoia нашла внедрённый вредоносный код на сайтах украинской газодобывающей компании, американской отраслевой ассоциации химической промышленности, болгарского ресурса военной тематики, ультраправой европейской партии, чешского ультраправого движения и австралийской медицинской клиники.
Кроме того, злоумышленники сделали копии двух настоящих сайтов, которые показывали посетителям оригинальное содержимое. Одна копия изображала America250, официальный сайт празднования 250-летия США. Другая повторяла сайт лондонского отеля Raffles London at The OWO; по мнению Sekoia, она была рассчитана на дипломатические делегации и высокопоставленных гостей.
Шире всего сеть раскинула атака через поставщика. С 27 августа по 3 сентября скрипт отслеживания украинского сервиса веб-аналитики Plerdy был изменён так, что подгружал код злоумышленников. По словам Sekoia, этот скрипт стоит на «тысячах сайтов, подавляющее большинство из них украинские», поэтому под удар мог попасть любой, кто в ту неделю открыл такой сайт с уязвимого телефона.
Что атака забирала с телефонов
Сначала скрипт на странице снимал «отпечаток» устройства и браузера, затем сервер злоумышленников присылал цепочку эксплойтов под конкретный телефон. Sekoia описывает три цепочки:
- iOS 16 и ранние версии iOS 17: кража cookie из Safari и приложений. С ними можно войти в аккаунт без пароля.
- iOS 18.5: почти всё: SMS, iMessage, переписка в WhatsApp и Telegram, пароли из «Связки ключей», почта, контакты, журнал звонков, заметки, данные о местоположении, данные «Здоровья», фото и файлы iCloud Drive.
- Android, Chrome версий 139-145 (кроме 143): cookie и сохранённые логины Chrome, история браузера и сохранённые пароли от Wi-Fi.
Цепочка для iOS 18 пересекается с DarkSword, набором эксплойтов для iPhone, который Google, iVerify и Lookout описали в марте. Его используют несколько групп, включая продавцов шпионских программ, как минимум с ноября 2025 года. В Sekoia считают, что эксплойты, вероятно, взяты из набора коммерческого поставщика средств слежки.
Ни одна из вредоносных программ не закреплялась на телефоне: перезагрузка прекращает заражение до следующего захода на заражённую страницу, отмечает BleepingComputer. Но данные, скопированные до перезагрузки, уже утекли.
Кого искали хакеры
APT29 обычно охотится на правительства, дипломатов и оборонку, и список сайтов в эту картину укладывается. Однако, как пишет Sekoia, «остаётся неясным», нужны ли были хакерам посетители конкретных сайтов или любой непропатченный телефон, до которого удастся дотянуться. В отличие от похожей кампании APT29 в 2024 году, в этой не было фильтра, и cookie собирались из любого браузера. Операторы группы постоянно ищут новые пути к устройствам: в августе Microsoft сообщила, что одна из её подгрупп перехватывала страницы входа в Wi-Fi отелей, чтобы подсовывать вредоносную программу под видом обновления браузера.
Как защитить телефон
- Установите последнее обновление iOS или Android. По словам Sekoia, «пользователь с обновлённой операционной системой защищён от этих атак». Если iPhone не получает новейшую iOS, поставьте последнее обновление, которое Apple выпускает для этой модели: часть исправлений перенесли и в старые версии.
- На Android отдельно обновите Chrome в Google Play: атака начинается именно в браузере.
- Если телефон был не обновлён, а в конце августа или начале сентября вы заходили на украинские сайты, завершите все сеансы в основных аккаунтах и смените важные пароли: украденные cookie действуют, пока вы этого не сделаете.
- Перезагрузка прекращает именно это заражение, но не закрывает уязвимости и не возвращает украденные данные, поэтому обновление она не заменяет.
- VPN здесь не поможет: вредоносный код приходит с настоящих сайтов по обычному зашифрованному соединению, а VPN меняет только маршрут трафика.
- Журналистам, чиновникам и активистам стоит включить на iPhone режим блокировки (Lockdown Mode). Недавно Apple предупредила депутатов бундестага, что их телефоны атаковали шпионской программой.
