هکرها با سوءاستفاده از آسیب‌پذیری‌های iOS و اندروید، گوشی‌ها را آلوده کردند

پژوهشگران می‌گویند این گروه ممکن است با حمایت کرملین و با هدف یافتن اهداف دیپلماتیک دست به این اقدام زده باشد.

پژوهشگران روز چهارشنبه اعلام کردند که هکرهای احتمالاً مرتبط با کرملین، با سوءاستفاده از آسیب‌پذیری‌های قبلاً اصلاح‌شده (پچ‌شده) در iOS و اندروید، تلاش کردند بازدیدکنندگان چندین وب‌سایت، از جمله سایتی که دویست و پنجاهمین سالگرد استقلال آمریکا را جشن می‌گیرد، هک کنند.

مهاجمان که پژوهشگران با «اعتماد متوسط تا بالا» آن‌ها را بخشی از سرویس اطلاعات خارجی روسیه ارزیابی کرده‌اند، سایت‌های دیگری را نیز هدف قرار دادند که بسیاری از آن‌ها با جنگ جاری آن کشور علیه اوکراین مرتبط بودند. این حملات زمانی آغاز شد که کاربران آیفون یا اندروید از یکی از صدها سایت مختلف بازدید کردند. کد جاوا اسکریپتی که به ترافیک تزریق شده بود، سپس دستگاه را ارزیابی و تحلیل کرد. بارگذاری‌های نهایی (payloads) که متناسب با نوع پلتفرم بازدیدکننده سفارشی‌سازی شده بودند، تلاش کردند کوکی‌های مرورگر و در برخی موارد، رمز عبورهای وای‌فای و داده‌های کامل دستگاه تلفن همراه را به سرقت ببرند.

استفاده از ابزار DarkSword

یکی از سایت‌های شبیه‌سازی‌شده america250.org بود که به گروهی غیرحزبی از قانون‌گذاران، مدیران کسب‌وکار و حداقل یکی از مقام‌های دولت سابق ترامپ تعلق دارد. مهاجمان دامنه america250[.]holiday را ثبت کرده و از آن به عنوان یک پروکسی معکوس (reverse proxy) برای سایت america250.org استفاده کردند. وب‌سایت تقلبی محتوای سایت اصلی را نمایش می‌داد اما کد مخرب جاوا اسکریپت را به آن تزریق می‌کرد.

پژوهشگران شرکت امنیتی Sekoia گفتند: «ما ارزیابی می‌کنیم که این گروه نفوذ ممکن است این وب‌سایت را به دلیل ارتباط آن با یک جشن ملی برجسته، به‌طور عمدی انتخاب کرده باشد و احتمالاً از این رویداد به عنوان بهانه‌ای برای کمپین‌های فیشینگ هدفمند با مضمون دعوت‌نامه بهره‌برداری کرده است.»

وب‌سایت دوم به نام theowo[.]club، به عنوان پروکسی برای وب‌سایت Raffles of London OWO عمل می‌کرد؛ هتلی لوکس که از نظر فیزیکی به برخی از حساس‌ترین نهادهای دولتی بریتانیا، از جمله وزارت دفاع و شماره ۱۰ داونینگ استریت (اقامتگاه و دفتر رسمی نخست‌وزیر بریتانیا) نزدیک است. گزارش‌های منابع متن‌باز نشان می‌دهد که ولودیمیر زلنسکی، رئیس‌جمهور اوکراین، در جریان سفری در ۱۴ اکتبر در آنجا اقامت داشته است.

پژوهشگران گفتند: «با انجام این حمله آبشخور (watering hole) [و شبیه‌سازی] هتل رافلز لندن در OWO، این گروه نفوذ ممکن است به دنبال هدف قرار دادن هیئت‌های دیپلماتیک و مهمانان برجسته از طریق کمپین‌های فیشینگ هدفمند بوده باشد.»

مهاجمان همچنین حملات خود را از طریق وب‌سایت‌های هک‌شده — از جمله یک شرکت بزرگ تولید گاز در اوکراین — و یک سرویس تحلیل وب اوکراینی که به هزاران وب‌سایت خدمات می‌دهد، انجام دادند. شرکت Sekoia اعلام کرد که انتساب این حملات به کرملین بر اساس مشخصات اهداف و شباهت‌های آن‌ها به یک حمله قبلی انجام شده که به APT29 (یکی از نام‌هایی که گروه منتسب به روسیه با آن ردیابی می‌شود) نسبت داده شده است.

هکرها به سه بردار آلودسازی متکی بودند: تزریق مستقیم جاوا اسکریپت به ترافیک وب‌سایت‌های قانونی، دامنه‌های پروکسی مانند america250[.]holiday، و سازش در زنجیره تأمین سرویس تحلیل وب اوکراینی. در هر مورد، جاوا اسکریپت تزریق‌شده یکسان بود. در مرحله اول، جاوا اسکریپت مرورگر و دستگاه بازدیدکننده را بررسی کرد. سپس مهاجمان از آن اطلاعات برای ارائه یکی از سه زنجیره اکسپلویت صفر کلیک (zero-click) استفاده کردند که بدون نیاز به هیچ‌گونه تعاملی از سوی هدف کار می‌کنند.

یکی از این زنجیره‌ها DarkSword بود؛ یک کیت اکسپلویت iOS که پژوهشگران گوگل اعلام کردند مشتریان شرکت PARS Defense (یک فروشنده تجاری نظارت در ترکیه) و حداقل دو گروه تهدید دیگر از آن استفاده کرده‌اند. شرکت Sekoia گفت که در کمپین اخیر از دو زنجیره اکسپلویت دیگر که نامی از آن‌ها برده نشده، استفاده شده است.

تمام آسیب‌پذیری‌های مورد سوءاستفاده در این کمپین از نوع «n-day» بودند؛ به این معنی که قبلاً پچ شده بودند و حملات تنها روی نسخه‌های قدیمی iOS یا اندروید کار می‌کردند.