APT29 zero-click saldırıları iOS ve Android cihazları hedef alıyor

Sekoia'nın orta-yüksek güvenle Rus APT29 grubuna bağladığı kampanya, ziyaretçinin cihazına uygun exploit zincirini sunucudan çekerek hem iPhone hem Android kullanıcılarını etkiliyor; yamalar yayımlandı.

Sekoia'nın tespitlerine göre, ABD, Ukrayna, Çekya ve Bulgaristan'daki ele geçirilmiş ya da taklit siteleri ziyaret eden iOS ve Android kullanıcıları, geniş ölçekli bir sulama deliği kampanyasının hedefi oldu. Kampanyayı orta-yüksek güvenle Rus APT29 (Midnight Blizzard) grubuna bağlıyor.

Kampanyanın ilk aşamasında çalışan JavaScript, ziyaretçinin cihazını ve tarayıcı sürümünü belirliyor. Komuta-kontrol sunucusu bu bilgiye göre, bilinen açıklardan oluşan uygun bir zero-click exploit zinciri gönderiyor. iOS 16.7 üzerinde zincirler Safari çerezlerini, iOS 18.5 üzerinde WhatsApp ve Telegram verilerini, Keychain kimlik bilgilerini ve fotoğrafları hedefledi. Android'de ise Chrome çerezleri, oturum açma bilgileri ve kayıtlı WiFi kimlik bilgileri hedef alındı.

Ele geçirilen siteler arasında bir Ukrayna doğalgaz üreticisi, ABD'li bir kimya sanayii birliği ve Bulgaristan'da askeriyeyle bağlantılı bir site bulunuyor. Ukraynalı analitik sağlayıcı Plerdy'nin SEO takip aracı da değiştirilmiş ve 27 Ağustos-3 Eylül tarihleri arasında binlerce site tarafından yüklenmiş.

Yükler kalıcılık sağlamadı; cihaz yeniden başlatıldığında etkinlik sona eriyor, ancak ele geçirilmiş bir siteyi yeniden ziyaret etmek saldırıyı tekrar başlatabiliyor. Apple ve Google, kampanyada hedef alınan açıkları yamaladı; yamalar eski iOS sürümlerine de ulaştı. Kullanıcıların en güncel güncellemeleri yüklemesi öneriliyor.