Sekoia: APT29 kampaņa iOS un Android izmanto jau izlabotas kļūdas

Francijas kiberdrošības uzņēmums Sekoia trešdien, 4. novembrī, publicēja ziņojumu par kampaņu ar nosaukumu Poisoned Source. Pētnieki ar mērenu līdz augstu pārliecību to piedēvē Krievijas izlūkdienesta SVR saistītajai grupai APT29, kas zināma arī kā Midnight Blizzard. Kampaņa mērķē uz iOS un Android lietotājiem, kuri apmeklē kompromitētas vai viltotas vietnes, un izmanto jau izlabotas jeb n-day ievainojamības, tāpēc pilnībā atjauninātas ierīces no šīm ķēdēm ir drošas.

Uzbrukums notiek trīs ceļos. Pirmais ir ļaunprātīga JavaScript ievietošana īstās vietnēs, tostarp Ukrainas gāzes ražotāja, ASV ķīmijas nozares asociācijas un Bulgārijas militārai saistītas vietnes lapās. Otrais – līdzīgu domēnu izmantošana kā pretinieka starpniekiem: piemēram, america250.holiday atdarināja ASV neatkarības 250. gadadienas oficiālo vietni, bet theowo.club – Londonas viesnīcas Raffles at The OWO lapu, kas atrodas tuvu Lielbritānijas Aizsardzības ministrijai un Premjerministra birojam.

Trešais ceļš bija piegādes ķēdes kompromitēšana. No 27. augusta līdz 3. septembrim uzbrucēji ievietoja ļaunprātīgu kodu Ukrainas tīmekļa analītikas servisa Plerdy SEO Tracker failā, ko ielādē tūkstošiem vietņu, galvenokārt Ukrainā. Starp tām ir arī aizsardzības, speciālo spēku un militārā aprīkojuma resursi. Visos gadījumos sākotnējais skripts profilē ierīci un pārlūku, pēc tam serveris piegādā platformai pielāgotu ekspluatācijas ķēdi bez lietotāja mijiedarbības.

Sekoia identificēja trīs ķēdes. Viena iOS 16.7 ierīcēs izmanto CVE-2025-43529 un CVE-2024-27834, lai zagtos Safari un citu lietotņu sīkdatnes. Otra iOS 18.5 izmanto DarkSword komplektu ar vairākām CVE un vāc plašu datu klāstu, tostarp WhatsApp un Telegram datubāzes, Keychain datus, atrašanās vietu un fotogrāfijas. Trešā Android Chrome versijās no 139 līdz 145, izņemot 143, izmanto CVE-2026-3910 un CVE-2025-27038 un ar AndroSnitch iegūst Chrome sīkdatnes, pieteikšanās datus, vēsturi un saglabātās Wi-Fi paroles.

Neviena no analizētajām kravām neizveidoja noturību: ierīces restartēšana aptur ļaunprātīgo darbību, līdz lietotājs atkal apmeklē kompromitētu vietni. Apple un Google šīs kļūdas jau ir izlabojušas, tostarp arī vecākām iOS versijām. Sekoia un BleepingComputer iesaka nekavējoties uzstādīt jaunākos drošības atjauninājumus.

Piedēvēšana balstās uz tehniskām līdzībām ar agrākām APT29 «ūdensbedres» kampaņām, infrastruktūras pārklāšanos un upuru profilu, kurā izceļas Ukraina, ASV un Eiropa. Google TAG Sekoiai apstiprinājusi līdzību ar 2024. gada kampaņu pret Mongolijas valdības vietnēm. Pētnieki uzsver, ka valstiskie uzbrucēji arvien biežāk izmanto komerciālo novērošanas piegādātāju gatavas n-day ķēdes, kas samazina uzbrukuma izmaksas.