Хакеры взламывали телефоны на iOS и Android через поддельные сайты. Для заражения не требовалось ничего нажимать — достаточно было открыть страницу.
Один из клонов имитировал сайт america250.org — проекта к 250-летию независимости США. Второй — сайт лондонского отеля Raffles London at The OWO рядом с правительственными зданиями Великобритании, включая Министерство обороны и резиденцию премьер-министра на Даунинг-стрит, 10.
JavaScript на поддельных страницах определял тип устройства и загружал один из трёх наборов эксплойтов. Один из них, DarkSword, ранее использовался для атак на iOS. Ещё две цепочки эксплойтов в отчёте Sekoia не названы.
Все уязвимости уже исправлены производителями. Атака работала только на устаревших версиях операционных систем. Финальные модули пытались украсть cookies браузера, а в некоторых случаях — пароли от Wi-Fi и полные данные с мобильного устройства.
Среди целей также были скомпрометированные украинские сайты, включая ресурс газодобывающей компании и сервис веб-аналитики, обслуживающий тысячи сайтов. Через него вредоносный код распространялся сразу на множество страниц.
Исследователи из Sekoia с умеренной или высокой уверенностью связывают кампанию с группой APT29, которую относят к российским спецслужбам. Вывод основан на профиле целей и сходстве с предыдущей атакой, приписанной этой группе.
Для защиты достаточно включить автоматическое обновление системы и браузера. Владельцам устройств стоит с осторожностью относиться к незнакомым доменам, даже если страница выглядит как известный сайт.
