Επιχείρηση Poisoned Source: Πώς μολυσμένες ιστοσελίδες στόχευσαν συσκευές iOS και Android

Μια εξαιρετικά εξελιγμένη εκστρατεία κυβερνοκατασκοπείας, ικανή να παραβιάζει έξυπνα κινητά τηλέφωνα χωρίς να απαιτείται καμία ενέργεια από τον χρήστη πέρα από την απλή επίσκεψη σε μια ιστοσελίδα, έφερε στο φως η γαλλική εταιρεία κυβερνοασφάλειας Sekoia. Η επιχείρηση, η οποία έλαβε την κωδική ονομασία «Poisoned Source», αποδίδεται με υψηλή βεβαιότητα στη διαβόητη ομάδα APT29 (γνωστή επίσης ως Cozy Bear ή Midnight Blizzard), η οποία συνδέεται άμεσα με τις ρωσικές υπηρεσίες πληροφοριών SVR.

Η μέθοδος των τριών επιπέδων και η τακτική drive-by compromise

Το πλέον ανησυχητικό χαρακτηριστικό της συγκεκριμένης επίθεσης είναι η τεχνική «drive-by compromise». Το υποψήφιο θύμα δεν χρειαζόταν να κατεβάσει κάποιο αρχείο ή να πατήσει σε ύποπτο σύνδεσμο. Η είσοδος και μόνο σε έναν παραβιασμένο ιστότοπο αρκούσε για να εκτελεστεί κακόβουλος κώδικας JavaScript, ο οποίος ανέλυε το λειτουργικό σύστημα και τον browser της συσκευής, ενεργοποιώντας το κατάλληλο exploit.

Για να μεγιστοποιήσουν την αποτελεσματικότητά τους, οι επιτιθέμενοι κινήθηκαν σε τρία επίπεδα. Αρχικά, μόλυναν υφιστάμενες, νόμιμες ιστοσελίδες. Παράλληλα, δημιούργησαν κλώνους πραγματικών οργανισμών, όπως της αμερικανικής πρωτοβουλίας America250 και του πολυτελούς ξενοδοχείου Raffles London at The OWO στο Λονδίνο, το οποίο γειτνιάζει με το βρετανικό υπουργείο Άμυνας. Το πιο κρίσιμο πλήγμα, ωστόσο, ήταν η παραβίαση του ουκρανικού εργαλείου Plerdy SEO Tracker. Μέσω αυτής της επίθεσης στην εφοδιαστική αλυσίδα λογισμικού, ο κακόβουλος κώδικας εκτελούνταν σε χιλιάδες ιστότοπους, ανάμεσα στους οποίους συγκαταλέγονταν ουκρανικές ενεργειακές εταιρείες και σελίδες βουλγαρικού στρατιωτικού ενδιαφέροντος.

Υποκλοπή δεδομένων από iOS και Android

Στο στόχαστρο των κυβερνοεγκληματιών βρέθηκαν τόσο συσκευές της Apple όσο και του οικοσυστήματος Android. Στα iPhone, οι επιτιθέμενοι αξιοποίησαν το εξειδικευμένο πλαίσιο εκμετάλλευσης ευπαθειών DarkSword. Σε ευάλωτες εκδόσεις του iOS, το κακόβουλο λογισμικό είχε τη δυνατότητα να αποσπάσει ευαίσθητα δεδομένα, όπως κωδικούς πρόσβασης, SMS, μηνύματα iMessage, φωτογραφίες, αλλά και ολόκληρες τις βάσεις δεδομένων δημοφιλών κρυπτογραφημένων εφαρμογών, όπως το WhatsApp και το Telegram.

Αντίστοιχα, στα Android τηλέφωνα, οι επιθέσεις επικεντρώθηκαν σε συγκεκριμένες εκδόσεις του προγράμματος περιήγησης Chrome (από την έκδοση 139 έως την 145, πλην της 143), αποκτώντας πρόσβαση στο ιστορικό περιήγησης, στα cookies και σε αποθηκευμένους κωδικούς δικτύων Wi-Fi. Ο ακριβής αριθμός των παραβιασμένων συσκευών δεν έχει προσδιοριστεί, καθώς η έρευνα επικεντρώθηκε στην αναχαίτιση της υποδομής της επίθεσης.

Το παράδοξο των κυβερνητικών συσκευών και η σημασία των ενημερώσεων

Παρότι η τεχνική αρτιότητα της εκστρατείας προκαλεί έντονο προβληματισμό, τα κενά ασφαλείας που αξιοποιήθηκαν είχαν ήδη επιδιορθωθεί από την Apple και την Google πριν από την εκδήλωση της επιχείρησης. Αυτό σημαίνει ότι οι απλοί πολίτες που διατηρούσαν τις συσκευές τους πλήρως ενημερωμένες δεν διέτρεχαν άμεσο κίνδυνο.

Ωστόσο, η στόχευση αφορούσε κυρίως διπλωμάτες, αξιωματούχους και στρατιωτικά στελέχη. Σε αυτές τις κατηγορίες εμφανίζεται συχνά το παράδοξο της καθυστέρησης: οι επίσημες συσκευές καθυστερούν να λάβουν ενημερώσεις λογισμικού, καθώς κάθε αναβάθμιση απαιτεί εξονυχιστικό έλεγχο από αρμόδια τμήματα ασφαλείας. Αυτή η χρονική υστέρηση δημιουργεί ένα επικίνδυνο παράθυρο ευπάθειας, επιτρέποντας σε κρατικούς δρώντες να αξιοποιούν ήδη γνωστές αδυναμίες. Το περιστατικό υπογραμμίζει την αδήριτη ανάγκη για άμεση εγκατάσταση των ενημερώσεων ασφαλείας σε όλα τα επίπεδα, καθώς η ψηφιακή άμυνα κρίνεται πλέον σε λεπτομέρειες δευτερολέπτων.