Эксплойты атакуют iOS и Android без нажатий и установки приложений

Атаки с использованием эксплойтов на iOS и Android проходят без действий пользователя

Вредоносный JavaScript определяет модель устройства и версию браузера, после чего сервер управления отправляет нужную цепочку n-day эксплойтов. Важно: для запуска атаки не требуется никаких действий со стороны пользователя, что резко снижает «барьер входа» для злоумышленника.

Как устроена цепочка атаки

Sekoia связывает кампанию с APT29 (также известной как Midnight Blizzard), российской группировкой, с умеренно-высокой уверенностью в атрибуции. Скомпрометированные легитимные сайты принадлежали украинскому газопроизводителю, американскому отраслевому ассоциации химической индустрии и болгарскому сайту, связанному с военной тематикой. Помимо них использовались поддомены, имитирующие официальные ресурсы, работавшие по модели adversary-in-the-middle.

Ключевой элемент инфраструктуры — скомпрометированный украинский сервис веб-аналитики Plerdy, SEO-трекер которого загружался тысячами сайтов в период с 27 августа по 3 сентября. Первичная нагрузка профилировала посетителей, а сервер управления выдавал подходящую цепочку эксплойтов.

Что крадут и почему это важно

Атаки были нацелены на куки-файлы, базы данных мессенджеров и учётные данные пользователей. Это именно тот набор данных, который позволяет перехватить контроль над личными и рабочими аккаунтами: сессионные токены, пароли, содержимое переписок. Для тех, кто работает с корпоративными сервисами с телефона, подобная компрометация означает прямой доступ к рабочим материалам без необходимости фишинга или социальной инженерии.

При этом исследователи зафиксировали важную деталь: ни одна из нагрузок не устанавливала персистентность, то есть после перезагрузки устройства вредоносная активность прекращалась, до следующего визита на скомпрометированный сайт. Это упрощает реагирование, но не отменяет саму проблему.

Практический вывод: обновления уже выпущены

Apple и Google выпустили исправления по всем уязвимостям, задействованным в кампании, причём обновления безопасности добрались и до старых версий iOS. Единственное, что требуется от пользователей, — установить доступные обновления системы. Если ваш iPhone или Android ещё не перезагружался после получения последнего патча, это стоит сделать сегодня: в нише мобильных приложений обновления безопасности — не формальность, а единственная линия обороны против атак, которые не требуют от вас ничего.