Μια νέα εκστρατεία κατασκοπείας APT29 στόχευσε χρήστες iPhone και Android στην Ουκρανία, τις ΗΠΑ και την Ευρώπη, με σκοπό την κλοπή ευαίσθητων πληροφοριών. Σύμφωνα με τη γαλλική εταιρεία κυβερνοασφάλειας Sekoia, πίσω από την επιχείρηση βρίσκεται η ομάδα που είναι γνωστή και ως Cozy Bear ή Midnight Blizzard και θεωρείται ότι δρα για λογαριασμό της ρωσικής υπηρεσίας εξωτερικών πληροφοριών (SVR). Σε ορισμένες περιπτώσεις, η κλοπή δεδομένων δεν απαιτούσε κανένα κλικ ή λήψη αρχείου από το θύμα.
Εκστρατεία κατασκοπείας APT29: παγίδες σε υπαρκτούς και πλαστούς ιστότοπους
Η έρευνα ξεκίνησε όταν οι αναλυτές εντόπισαν κακόβουλο κώδικα στον ιστότοπο μιας ουκρανικής εταιρείας παραγωγής φυσικού αερίου, η οποία δεν κατονομάζεται. Η περαιτέρω ανάλυση έφερε στο φως παρόμοιες παραβιάσεις σε άλλους οργανισμούς, μεταξύ των οποίων μια μεγάλη αμερικανική ένωση της χημικής βιομηχανίας και ένα ευρωπαϊκό κόμμα της άκρας δεξιάς.
Οι επιτιθέμενοι δημιούργησαν επίσης πλαστές εκδοχές δύο γνωστών ιστοτόπων: του America250, πρωτοβουλίας για τα 250 χρόνια από την ανεξαρτησία των ΗΠΑ, και του Raffles London at The OWO, ενός πολυτελούς ξενοδοχείου κοντά σε κυβερνητικά κτίρια του Λονδίνου. Οι ψεύτικες σελίδες εμφάνιζαν κανονικό περιεχόμενο των γνήσιων ιστοτόπων, ενώ παράλληλα έτρεχαν κώδικα που εντόπιζε επισκέπτες με ευάλωτες συσκευές.
Οι ερευνητές εκτιμούν ότι ο πλαστός ιστότοπος του America250 θα μπορούσε να χρησιμοποιηθεί με προσκλήσεις σε εκδηλώσεις επετείου, ενώ ο ιστότοπος του ξενοδοχείου ίσως απευθυνόταν σε διπλωμάτες και άλλους επιφανείς επισκέπτες. Σημειώνεται ότι ο Βολοντίμιρ Ζελένσκι φέρεται να διέμεινε στο ξενοδοχείο τον Οκτώβριο, όμως δεν βρέθηκαν στοιχεία ότι αποτέλεσε στόχο.
Η παραβίαση της Plerdy και ο στόχος στην Ουκρανία
Η πιο εκτεταμένη κίνηση ήταν η παραβίαση της Plerdy, μιας ουκρανικής υπηρεσίας web analytics που χρησιμοποιείται από χιλιάδες ιστοτόπους, κυρίως στην Ουκρανία. Μεταξύ τέλους Αυγούστου και αρχών Σεπτεμβρίου, οι δράστες εισήγαγαν κακόβουλο κώδικα σε script παρακολούθησης που διανεμόταν μέσω της υπηρεσίας. Έτσι εκτέθηκαν δυνητικά επισκέπτες εκατοντάδων ιστοτόπων, ανάμεσά τους σελίδες που συνδέονται με τον ουκρανικό στρατό, τις ειδικές δυνάμεις και κατασκευαστές drones και στρατιωτικού εξοπλισμού.
Το script αναγνώριζε τη συσκευή και τις εκδόσεις λογισμικού του επισκέπτη πριν επιχειρήσει να εκμεταλλευτεί γνωστά κενά ασφαλείας. Η Sekoia δεν μπορεί να πει αν οι δράστες στόχευαν συγκεκριμένα πρόσωπα ή αν συνέλεγαν πληροφορίες από όσο το δυνατόν περισσότερες ευάλωτες συσκευές, για να επιλέξουν αργότερα τους πολύτιμους στόχους.
Πώς δούλευαν οι επιθέσεις σε iPhone και Android
Οι μέθοδοι διέφεραν ανάλογα με τη συσκευή και το λειτουργικό σύστημα:
- iPhone με iOS 16: κλοπή cookies του προγράμματος περιήγησης και των εφαρμογών, που θα μπορούσαν να δώσουν πρόσβαση σε διαδικτυακούς λογαριασμούς.
- iPhone με iOS 18.5: πιο προηγμένη επίθεση που μπορούσε να εξαγάγει μηνύματα, email, κωδικούς, επαφές, φωτογραφίες και ιστορικό τοποθεσίας, καθώς και δεδομένα από εφαρμογές όπως το WhatsApp και το Telegram.
- Android: εκμετάλλευση ευπαθειών σε παλαιότερες εκδόσεις του Chrome για κλοπή δεδομένων περιήγησης, cookies και αποθηκευμένων κωδικών Wi-Fi.
Το εργαλείο DarkSword
Η επίθεση σε iOS 18.5 βασιζόταν στο DarkSword, ένα εργαλείο παρακολούθησης που πιθανότατα έχει αναπτυχθεί εμπορικά και μπορεί να αντλεί μεγάλο όγκο πληροφοριών από iPhone. Το ίδιο εργαλείο έχει χρησιμοποιηθεί και σε προηγούμενες επιχειρήσεις άλλων ομάδων κατά χρηστών στη Σαουδική Αραβία, την Τουρκία και τη Μαλαισία. Σε αντίθεση με ορισμένα spyware, οι επιθέσεις αυτές σχεδιάστηκαν να αποσπούν δεδομένα χωρίς να διατηρούν μακροχρόνια πρόσβαση στη συσκευή.
Γιατί έχει σημασία
Το κρίσιμο στοιχείο είναι ότι και οι τρεις μέθοδοι βασίζονταν σε ευπάθειες που η Apple και η Google είχαν ήδη διορθώσει πριν από την έναρξη της εκστρατείας. Δεν πρόκειται για zero-day, και οι επιθέσεις δεν θα πετύχαιναν σε πλήρως ενημερωμένες συσκευές. Μια κρατικά υποστηριζόμενη ομάδα, λοιπόν, δεν χρειάστηκε άγνωστα κενά: αρκούσε η καθυστέρηση στις ενημερώσεις.
Παράλληλα, η υπόθεση δείχνει τον κίνδυνο της εφοδιαστικής αλυσίδας. Η παραβίαση ενός τρίτου παρόχου, όπως μιας υπηρεσίας analytics, μπορεί να εκθέσει επισκέπτες εκατοντάδων άσχετων μεταξύ τους ιστοτόπων. Η Sekoia δεν έχει προσδιορίσει πόσες συσκευές παραβιάστηκαν ούτε πόσα δεδομένα αποκτήθηκαν, και συνεργάζεται με ομάδες CERT των επηρεαζόμενων χωρών για τον εντοπισμό πιθανών θυμάτων και τη διατάραξη της υποδομής των δραστών.
Τι πρέπει να κάνετε
- Ενημερώστε άμεσα το iOS, το Android και το Chrome στις τελευταίες εκδόσεις και ενεργοποιήστε τις αυτόματες ενημερώσεις.
- Αντικαταστήστε συσκευές που δεν λαμβάνουν πλέον ενημερώσεις ασφαλείας, ιδίως αν χρησιμοποιούνται για εργασία.
- Αν ανήκετε σε ομάδες υψηλού κινδύνου (διπλωμάτες, στελέχη, δημοσιογράφοι), εξετάστε ενεργοποίηση του Lockdown Mode στα iPhone.
- Αλλάξτε κωδικούς και αποσυνδέστε ενεργές συνεδρίες αν υποψιάζεστε έκθεση, καθώς κλέβονταν cookies και αποθηκευμένοι κωδικοί.
- Οι οργανισμοί να ελέγχουν τα scripts τρίτων στους ιστοτόπους τους και να περιορίζουν όσα φορτώνονται χωρίς ανάγκη.
- Να είστε επιφυλακτικοί με προσκλήσεις και συνδέσμους από ιστοτόπους που μοιάζουν γνωστοί, ειδικά για εκδηλώσεις ή κρατήσεις.