Jedna wizyta na stronie internetowej i hasła zniknęły. Hakerzy atakowali telefony również przez czeską stronę, ślady podobno prowadzą do Rosji

Wystarczyło załadować stronę internetową, a już groziło kradzież haseł, dostępów do kont lub wrażliwych danych. Firma zajmująca się bezpieczeństwem Sekoia opisała, jak hakerzy celowali w użytkowników ze starym Androidem lub iPhonem. Ich ślady miały prowadzić do Rosji. Co więcej, według ekspertów, zainfekowane strony internetowe pojawiły się również w Czechach.

Zainfekowana miała być również strona czeskiego ruchu politycznego

Według analizy firmy Sekoia, atakujący w tym roku zaatakowali lub sklonowali strony internetowe w Stanach Zjednoczonych, na Ukrainie, w Bułgarii i w Czechach. Czeskim celem miała być strona skrajnie prawicowego ruchu, jednak szczegółowy raport nie podaje jego nazwy. Wśród innych ofiar rzekomo znalazła się ukraińska firma gazownicza, amerykańskie stowarzyszenie przemysłu chemicznego oraz bułgarska strona o tematyce wojskowej.

Jeśli atakującym nie udało się włamać na stronę internetową jako taką, stworzyli jej wierną kopię. Naśladowali na przykład strony obchodów 250-lecia amerykańskiej niepodległości lub luksusowego londyńskiego hotelu, który znajduje się niedaleko brytyjskiego Ministerstwa Obrony i Downing Street. Ponadto, na tydzień między 27 sierpnia a 3 września, przejęli kontrolę nad ukraińską usługą analityczną Plerdy, z której korzystają tysiące głównie ukraińskich stron internetowych.

Za kampanią, według Sekoia, z „umiarkowanym do wysokiego stopnia pewności” stoi grupa APT29, znana również jako Cozy Bear. Jest ona powiązana z rosyjskim wywiadem zagranicznym SWR. Firma podaje, że współpracuje w śledztwie z narodowymi zespołami ds. cyberbezpieczeństwa z dotkniętych krajów.

Na starym telefonie wystarczyło otworzyć stronę

Skrypt na zaatakowanej stronie najpierw sprawdzał, jakiego telefonu i przeglądarki używa odwiedzający, a następnie dostosowywał i wysyłał atak. Sprawdzał przy tym tylko, czy to naprawdę telefon. Kto wszedł na stronę z nieaktualizowanym telefonem, ten był celem.

Na iPhone’ach z systemem iOS 16 do 17.4 atakujący kradli pliki cookie, czyli dane logowania do stron internetowych i aplikacji. Dzięki nim mogli dostać się na przykład do poczty e-mail bez znajomości hasła. W przypadku iOS 18.5 zastosowali zestaw narzędzi DarkSword, który wysysał z telefonu SMS-y, iMessage, WhatsApp, Telegram, zapisane hasła, zdjęcia oraz dane o lokalizacji.

Na Androidzie atak skupił się na Chrome w wersjach od 139 do 145 (z wyjątkiem 143) oraz, według serwisu Android Authority, na telefonach z chipami Snapdragon. Poprzez lukę w przeglądarce, a następnie w sterowniku graficznym Adreno, dostał się głębiej do systemu. Wyniósł pliki cookie, zapisane dane logowania i historię z Chrome, a także hasła do wszystkich zapisanych sieci Wi-Fi.

Zaktualizowany telefon nie przepuści ataku

Wszystkie wykorzystane luki, według badaczy, udało się naprawić wcześniej, zanim hakerzy rozpoczęli ataki. Dla użytkowników z zaktualizowanym telefonem i przeglądarką ich metody były więc nieskuteczne. Zagrożeni mogli być jednak ci, którzy lekceważą znaczenie aktualizacji, lub osoby, które nie orientują się w tych bardziej technicznych kwestiach.

Jeśli nie jesteś pewien, czy używasz najnowszej wersji przeglądarki Chrome, warto zajrzeć do Sklepu Play i zainstalować dostępne aktualizacje. Podobnie powinieneś sprawdzić, czy nie jest dostępna aktualizacja systemowa bezpośrednio dla Twojego telefonu. Sprawdzisz to w Ustawieniach.

Kiedy ostatnio aktualizowałeś telefon?

Źródła: Sekoia, Android Authority