Κυβερνοκατασκοπεία: Χάκερ εκμεταλλεύτηκαν ευπάθειες σε iOS και Android για να μολύνουν smartphones

Μια ευρείας κλίμακας εκστρατεία κυβερνοκατασκοπείας με πιθανές διασυνδέσεις με τις ρωσικές μυστικές υπηρεσίες αποκάλυψε η εταιρεία κυβερνοασφάλειας Sekoia. Σύμφωνα με τα ερευνητικά ευρήματα, κακόβουλοι παράγοντες εκμεταλλεύτηκαν ήδη διορθωμένες ευπάθειες στα λειτουργικά συστήματα iOS και Android, επιχειρώντας να αποκτήσουν πρόσβαση στις κινητές συσκευές επισκεπτών δεκάδων ιστοσελίδων υψηλού προφίλ, συμπεριλαμβανομένων κυβερνητικών, διπλωματικών και επιχειρηματικών στόχων.

Στο στόχαστρο διπλωμάτες, αξιωματούχοι και εκδηλώσεις κύρους

Οι δράστες, οι οποίοι συνδέονται με «μέτρια προς υψηλή βεβαιότητα» με την Υπηρεσία Εξωτερικών Πληροφοριών της Ρωσίας (SVR) και την ομάδα κυβερνοεπιθέσεων APT29, εφάρμοσαν εξελιγμένες τακτικές τύπου «watering hole». Δημιούργησαν παραπλανητικά αντίγραφα νόμιμων ιστοτόπων μέσω αντίστροφων διακομιστών μεσολάβησης (reverse proxies), ενσωματώνοντας σε αυτούς κακόβουλο κώδικα JavaScript.

Ανάμεσα στα ψηφιακά θύματα πλαστοπροσωπίας συγκαταλέγεται ο ιστότοπος america250.org, ο οποίος εκπροσωπεί οργανισμό αφιερωμένο στον εορτασμό των 250 ετών από την ανεξαρτησία των ΗΠΑ, με μέλη Αμερικανούς νομοθέτες και πρώην αξιωματούχους από την κυβέρνηση του Ντόναλντ Τραμπ. Παράλληλα, οι επιτιθέμενοι δημιούργησαν αντίγραφο της ιστοσελίδας του πολυτελούς ξενοδοχείου Raffles London at The OWO στο Λονδίνο. Το συγκεκριμένο ξενοδοχείο βρίσκεται σε άμεση γειτνίαση με το βρετανικό Υπουργείο Άμυνας και τη Ντάουνινγκ Στριτ, ενώ εκεί είχε διαμείνει πρόσφατα ο πρόεδρος της Ουκρανίας, Βολοντίμιρ Ζελένσκι. Σύμφωνα με τους αναλυτές, οι ιστότοποι αυτοί επιλέχθηκαν σκόπιμα ως δόλωμα για στοχευμένες επιθέσεις spear-phishing σε διπλωματικές αποστολές.

Ο μηχανισμός μόλυνσης και τα εργαλεία zero-click

Η στρατηγική διείσδυσης των χάκερ βασίστηκε σε τρεις διαύλους: την άμεση εισαγωγή κακόβουλου κώδικα JavaScript σε νόμιμες ιστοσελίδες (όπως κορυφαία ουκρανική εταιρεία φυσικού αερίου), τη χρήση παραποιημένων domain και την παραβίαση της αλυσίδας εφοδιασμού μέσω ουκρανικής υπηρεσίας web analytics που εξυπηρετεί χιλιάδες διαδικτυακούς τόπους.

Μόλις ο χρήστης επισκεπτόταν τις εν λόγω σελίδες από συσκευή iPhone ή Android, ο κώδικας JavaScript κατέγραφε λεπτομερώς τα χαρακτηριστικά της συσκευής και του browser. Με βάση αυτά τα δεδομένα, εξαπολύονταν αλυσίδες εκμετάλλευσης zero-click—επιθέσεις που δεν απαιτούν καμία αλληλεπίδραση ή κλικ από το θύμα. Μεταξύ των εργαλείων ταυτοποιήθηκε το kit εκμετάλλευσης DarkSword για iOS, το οποίο στο παρελθόν είχε συνδεθεί από την Google με πελάτες της εταιρείας εμπορικού κατασκοπευτικού λογισμικού PARS Defense στην Τουρκία. Το τελικό κακόβουλο λογισμικό είχε σχεδιαστεί για την υποκλοπή cookies περιήγησης, κωδικών Wi-Fi, ακόμη και για την πλήρη άντληση ευαίσθητων δεδομένων από τη συσκευή.

Η αξία των ενημερώσεων ασφαλείας απέναντι σε «n-day» επιθέσεις

Παρά την υψηλή τεχνική κατάρτιση της επιχείρησης, οι ειδικοί της Sekoia τονίζουν ότι όλες οι ευπάθειες που αξιοποιήθηκαν ανήκαν στην κατηγορία των «n-days». Αυτό σημαίνει ότι τόσο η Apple όσο και η Google είχαν ήδη διαθέσει τις απαραίτητες ενημερώσεις ασφαλείας και είχαν επιδιορθώσει τα κενά πολύ πριν την έναρξη της κακόβουλης εκστρατείας.

Ως εκ τούτου, οι επιθέσεις μπορούσαν να αποβούν αποτελεσματικές αποκλειστικά και μόνο σε συσκευές που διατηρούσαν παρωχημένες εκδόσεις λειτουργικού συστήματος. Η υπόθεση αυτή αποτελεί σαφή υπενθύμιση ότι ακόμη και οι πιο προηγμένες κρατικές ομάδες κυβερνοκατασκοπείας βασίζονται συχνά στην καθυστέρηση των χρηστών να εφαρμόσουν τις κρίσιμες ενημερώσεις του συστήματός τους.