Rosyjscy hakerzy atakowali smartfony. Ujawniono niebezpieczną kampanię

Zwykłe odwiedzenie strony internetowej mogło wystarczyć do kradzieży danych z niezaktualizowanego iPhone'a lub telefonu z Androidem. Eksperci Sekoia opublikowali 4 listopada raport o operacji „Poisoned Source”, która wykorzystywała przejęte witryny i luki w zabezpieczeniach urządzeń mobilnych.

W połowie października analitycy Sekoia wykryli złośliwy kod na stronach w Ukrainie, USA, Czechach i Bułgarii. Ustalili również, że sprawcy naruszyli bezpieczeństwo ukraińskiej usługi analitycznej Plerda, docierając w ten sposób do użytkowników setek kolejnych witryn.

Mechanizm ataku

Hakerzy stosowali trzy metody: umieszczali złośliwy kod JavaScript na legalnych stronach, tworzyli domeny podszywające się pod znane serwisy oraz ingerowali w skrypt zewnętrznej usługi analitycznej. Po otwarciu strony skrypt zbierał informacje o urządzeniu, systemie i przeglądarce.

Serwer napastników dobierał na tej podstawie exploity, czyli kod wykorzystujący luki w zabezpieczeniach iOS lub Androida. Jeśli telefon był podatny, dochodziło do uruchomienia złośliwego oprogramowania i wykradania danych. Mechanizm nie wymagał dodatkowych działań użytkownika.

Skala i cel

Między 27 sierpnia a 3 września 2026 r. atakujący zmodyfikowali skrypt Plerdy wykorzystywany przez tysiące stron, głównie ukraińskich. Zagrożeni byli odwiedzający setki legalnych serwisów, w tym związanych z ukraińskim wojskiem, rekrutacją i wyposażeniem wojskowym.

Rodzaj skradzionych danych

Badacze odtworzyli trzy łańcuchy exploitów. Pierwszy wykradał pliki cookies z iOS 16.7, drugi wykorzystywał zestaw DarkSword do ataku na iOS 18.5, a trzeci dotyczył niezaktualizowanych wersji Chrome na Androidzie.

W najbardziej zaawansowanym wariancie dotyczącym iPhone'ów zagrożone były wiadomości SMS i iMessage, bazy danych WhatsAppa i Telegrama, zapisane hasła, kontakty, historia połączeń, zdjęcia oraz dane lokalizacyjne. Z Androida zbierano dane przeglądarki Chrome, w tym pliki cookies i hasła do sieci Wi-Fi.

Status zagrożenia

Etap wykorzystujący Plerdy zakończył się 3 września. Sekoia nie potwierdziła jednak unieszkodliwienia całej infrastruktury. Wszystkie luki w trzech odtworzonych łańcuchach exploitów zostały załatane przed rozpoczęciem kampanii.

Zagrożone były więc przede wszystkim urządzenia bez aktualnych poprawek bezpieczeństwa. Według badaczy wykorzystane mechanizmy nie były skuteczne wobec w pełni zaktualizowanych systemów.