Κυβερνοεπίθεση με ρωσικά ίχνη: Πώς εκμεταλλεύτηκαν κενά ασφαλείας σε iOS και Android

Μία εκτεταμένη και εξαιρετικά στοχευμένη εκστρατεία κυβερνοκατασκοπείας έφεραν στο φως ερευνητές κυβερνοασφάλειας, αποκαλύπτοντας τον τρόπο με τον οποίο χάκερ, που φέρονται να συνδέονται με τις ρωσικές μυστικές υπηρεσίες, εκμεταλλεύτηκαν ευπάθειες σε λογισμικά iOS και Android. Στόχος των επιτιθέμενων ήταν η μόλυνση κινητών συσκευών ανυποψίαστων επισκεπτών συγκεκριμένων ιστοσελίδων, με επίκεντρο κυβερνητικούς, διπλωματικούς και στρατιωτικούς στόχους.

Στόχευση υψηλού επιπέδου και παραπλανητικές ιστοσελίδες

Σύμφωνα με την έκθεση της εταιρείας κυβερνοασφάλειας Sekoia, η ομάδα πίσω από τις επιθέσεις αποδίδεται με «μέτρια έως υψηλή βεβαιότητα» στην Υπηρεσία Εξωτερικής Πληροφοριοδότησης της Ρωσίας και στην περιβόητη ομάδα APT29. Οι επιτιθέμενοι εφάρμοσαν την τακτική του «watering hole», παραμονεύοντας σε ψηφιακά περιβάλλοντα που επισκέπτονταν πρόσωπα ειδικού ενδιαφέροντος.

Χαρακτηριστικό παράδειγμα αποτελεί η κλωνοποίηση της ιστοσελίδας για την 250ή επέτειο της υπογραφής του Συντάγματος των ΗΠΑ (america250.org). Οι δράστες δημιούργησαν έναν ιστότοπο-αντικατοπτρισμό, εισάγοντας κακόβουλο κώδικα JavaScript με στόχο να παρασύρουν πολιτικά πρόσωπα και αξιωματούχους. Παράλληλα, στο στόχαστρο βρέθηκε και ιστοσελίδα που σχετίζεται με το πολυτελές ξενοδοχείο Raffles of London OWO στο Λονδίνο. Το εν λόγω ξενοδοχείο βρίσκεται σε άμεση γειτνίαση με το βρετανικό Υπουργείο Άμυνας και την πρωθυπουργική κατοικία στην Ντάουνινγκ Στριτ, ενώ εκεί είχε διαμείνει πρόσφατα και ο Ουκρανός πρόεδρος Βολοντίμιρ Ζελένσκι. Οι ερευνητές εκτιμούν ότι στόχος ήταν η παγίδευση διπλωματικών αποστολών.

Ο μηχανισμός μόλυνσης και το λογισμικό DarkSword

Η επίθεση δεν περιορίστηκε μόνο σε αντίγραφα ιστοσελίδων. Οι δράστες παραβίασαν νόμιμους ιστοτόπους, συμπεριλαμβανομένης μιας μεγάλης ουκρανικής εταιρείας παραγωγής φυσικού αερίου, καθώς και μιας υπηρεσίας στατιστικών διαδικτύου στην Ουκρανία, πετυχαίνοντας επίθεση στην εφοδιαστική αλυσίδα λογισμικού που επηρέασε χιλιάδες ιστοσελίδες.

Μόλις ο χρήστης επισκεπτόταν έναν μολυσμένο ιστότοπο, ο κακόβουλος κώδικας JavaScript κατέγραφε το προφίλ της συσκευής και του προγράμματος περιήγησης. Στη συνέχεια, παρέδιδε εξειδικευμένες αλυσίδες εκμετάλλευσης μηδενικού κλικ (zero-click exploit chains), οι οποίες δεν απαιτούσαν καμία ενέργεια από το θύμα. Μία από αυτές ήταν το DarkSword, ένα εξελιγμένο εργαλείο υποκλοπής για iOS, το οποίο σύμφωνα με αναλυτές της Google έχει συσχετιστεί και με εμπορικούς προμηθευτές λογισμικού παρακολούθησης, όπως η PARS Defense στην Τουρκία. Το τελικό φορτίο στόχευε στην υποκλοπή cookies περιήγησης, κωδικών πρόσβασης Wi-Fi και πλήρων δεδομένων από τη συσκευή.

Η κρίσιμη σημασία των ενημερώσεων ασφαλείας

Παρά την πολυπλοκότητα των μεθόδων που χρησιμοποιήθηκαν, οι τεχνικοί αναλυτές υπογραμμίζουν ένα κρίσιμο στοιχείο: όλες οι ευπάθειες που αξιοποιήθηκαν ήταν γνωστές ως «n-days». Αυτό σημαίνει ότι τόσο η Apple όσο και η Google είχαν ήδη εκδώσει τις απαραίτητες ενημερώσεις ασφαλείας για την αντιμετώπισή τους.

Οι επιθέσεις αποδείχθηκαν αποτελεσματικές αποκλειστικά σε συσκευές που λειτουργούσαν με παρωχημένες εκδόσεις των λειτουργικών συστημάτων iOS και Android. Το γεγονός αυτό υπενθυμίζει με τον πιο σαφή τρόπο ότι η άμεση εγκατάσταση των ενημερώσεων ασφαλείας παραμένει η πρώτη και σημαντικότερη γραμμή άμυνας απέναντι ακόμη και στις πιο προηγμένες κρατικές κυβερνοεπιθέσεις.