Programišiai, galbūt susiję su Kremliumi, pasinaudojo anksčiau ištaisytomis „iOS“ ir „Android“ spragomis, siekdami užkrėsti kelių svetainių lankytojus, įskaitant svetainę, skirtą JAV Konstitucijos pasirašymo 250-osioms metinėms paminėti, trečiadienį pranešė tyrėjai.
Užpuolikai, kurie, tyrėjų vertinimu, „su vidutiniu ar dideliu užtikrintumu“ priklauso Rusijos užsienio žvalgybos tarnybai, taikėsi ir į kitas svetaines, daug kurių susijusios su šios šalies vykdomu karu prieš Ukrainą. Atakos prasidėdavo, kai „iPhone“ ar „Android“ įrenginių naudotojai apsilankydavo viename iš galbūt šimtų skirtingų tinklalapių. Į srautą įterptas „JavaScript“ kodas nustatydavo įrenginio profilį. Galutinės kenkėjiškos programos, pritaikytos lankytojo platformos tipui, bandydavo pavogti naršyklės slapukus, o kai kuriais atvejais – ir „Wi-Fi“ slaptažodžius bei visus mobiliojo įrenginio duomenis.
„DarkSword“ panaudojimas
Viena iš apsimestinių svetainių buvo america250.org, priklausanti nepartinei įstatymų leidėjų, verslo vadovų ir bent vieno buvusio Trumpo administracijos nario grupei. Užpuolikai užregistravo domeną america250[.]holiday ir naudojo jį kaip atvirkštinį tarpinį serverį (reverse proxy) america250.org atžvilgiu. Netikra svetainė pateikdavo tikrosios svetainės turinį, į kurį buvo įterptas kenkėjiškas „JavaScript“ kodas.
„Vertiname, kad ši atakų grupė galėjo sąmoningai pasirinkti šią svetainę dėl jos ryšio su svarbia nacionaline švente, galbūt panaudodama renginį kaip dingstį kvietimų tematikos tikslinio sukčiavimo (angl. spear-phishing) kampanijoms“, – teigė saugumo bendrovės „Sekoia“ tyrėjai.
Antroji svetainė, theowo[.]club, tarpiniu serveriu perduodavo svetainę „Raffles of London OWO“ – prabangaus viešbučio, fiziškai netoli kai kurių jautriausių Jungtinės Karalystės vyriausybės institucijų, įskaitant Gynybos ministeriją ir DaunING gatvę 10 (10 Downing Street), oficialią Didžiosios Britanijos ministro pirmininko rezidenciją ir biurą. Atvirų šaltinių pranešimais, ten per vizitą spalio 14 dieną viešėjo Ukrainos prezidentas Volodymyras Zelenskis.
„Šia „vandens telkinio“ ataka (angl. watering hole), apsimetančia „Raffles London at The OWO“, atakų grupė galėjo siekti taikytis į diplomatines delegacijas ir žymius svečius per tikslines sukčiavimo kampanijas“, – teigė tyrėjai.
Paaiškinimas: „Watering hole“ ataka – tai metodas, kai užpuolikai užkrečia svetainę, kurią dažnai lanko pasirinkta auka ar jų grupė, ir taip užkrečia lankytojų įrenginius.
Užpuolikai atakas platino ir per pažeistas svetaines, tarp jų – vieną didžiausių Ukrainos dujų gavybos bendrovių, bei Ukrainos žiniatinklio analitikos paslaugą, kuri aptarnauja tūkstančius svetainių. „Sekoia“ teigimu, ryšį su Kremliumi ji nustatė pagal taikinių profilius ir panašumus su ankstesne ataka, priskirta APT29 – vienam iš pavadinimų, kuriais žymima įtariama Rusijos grupė.
Programišiai naudojo tris užkrėtimo būdus: tiesioginį „JavaScript“ kodo įterpimą į teisėtų svetainių srautą, tarpinių serverių domenus, pavyzdžiui, america250[.]holiday, ir Ukrainos žiniatinklio analitikos paslaugos tiekimo grandinės pažeidimą. Visais atvejais įterptas „JavaScript“ kodas buvo tas pats. Pirmajame etape jis nustatydavo lankytojo naršyklės ir įrenginio profilį. Šią informaciją užpuolikai naudojo vienai iš trijų „zero-click“ išnaudojimo grandinių pateikti – jos veikia be jokio taikinio veiksmo.
Viena iš grandinių buvo „DarkSword“ – „iOS“ išnaudojimo rinkinys, kurį, kaip teigė „Google“ tyrėjai, naudojo Turkijos komercinės sekimo programinės įrangos tiekėjos „PARS Defense“ klientai ir bent dvi kitos grėsmių grupės. „Sekoia“ teigimu, naujesnėje kampanijoje buvo naudojamos dar dvi išnaudojimo grandinės, kurių pavadinimai nenurodyti.
Visos kampanijoje išnaudotos spragos buvo vadinamosios „n-days“ – tai reiškia, kad jos jau buvo ištaisytos, o atakos veikė tik pasenusiose „iOS“ ar „Android“ versijose.
Paaiškinimas: „Zero-click“ ataka yra tokia, kuriai pavykti aukai nereikia spustelėti nuorodos ar atidaryti failo, o „n-day“ spragos – jau žinomos ir ištaisytos, tačiau vis dar pavojingos neatnaujintiems įrenginiams.
