Хакерската група APT29, свързвана с руското външно разузнаване, е провела мащабна кибершпионска операция срещу потребители на смартфони с операционни системи Android и iOS. Сред компрометираните интернет страници е и български сайт, свързан с военната сфера, съобщи френската компания за киберсигурност „Секоя“.
Операцията е разкрита в средата на октомври 2026 г. Според изследователите тя е насочена към кражба на чувствителна информация, включително пароли, електронна кореспонденция, съобщения, данни за местоположението и достъп до потребителски профили.
Специалистите оценяват със средна до висока степен на увереност, че зад атаките стои APT29, известна още като Midnight Blizzard и Cozy Bear. Групата от години се свързва със Службата за външно разузнаване на Русия (СВР).
Разследването установява три основни начина за разпространение на зловредния код: проникване в легитимни интернет сайтове, създаване на фалшиви страници, имитиращи популярни платформи, и компрометиране на украинска услуга за уебанализ.
Сред засегнатите са сайт на украинска газодобивна компания, интернет страница от американската химическа индустрия, сайт на европейска крайнодясна политическа партия и български сайт, свързан с военната сфера.
При българския сайт нападателите са променили съществуваща JavaScript библиотека, като са внедрили зловреден код. Чрез него посетителите на страницата могат да бъдат пренасочвани към инфраструктура, контролирана от хакерите.
В разследването не се разкриват името и адресът на българския сайт. Не се съобщава и дали конкретни негови посетители са били успешно атакувани.
Особено сериозен е случаят с украинската платформа за уебанализ Plerdy. Между 27 август и 3 септември нападателите са внедрили зловреден код в неин инструмент, използван от хиляди сайтове, предимно украински.
Сред тях има интернет ресурси, свързани с армията, специалните части и производители на военно оборудване, включително безпилотни летателни апарати.
По този начин посетителите на легитимни сайтове са могли да бъдат изложени на опасност, без да извършват действия извън обичайното разглеждане на интернет страници.
При посещение на компрометиран сайт зловредният код установява операционната система и версията на браузъра на потребителя. След това сървърът на нападателите може автоматично да задейства подходяща атака срещу уязвимото устройство.
За определени версии на iOS са използвани инструменти, позволяващи извличане на бисквитки от браузъра, чрез които нападателите могат да получат достъп до вече отворени потребителски сесии, включително електронна поща.
При други версии на операционната система е използван инструментът DarkSword, способен да извлича значително по-широк набор от информация: SMS съобщения, данни от iMessage, WhatsApp и Telegram, запазени пароли, снимки, контакти, информация за местоположението и здравни данни.
Атаките срещу Android са насочени към определени версии на браузъра Chrome. Използваните уязвимости позволяват кражба на запазени данни за вход в потребителски профили, история на сърфирането и пароли за Wi-Fi мрежи.
Изследователите уточняват, че използваните уязвимости вече са били отстранени от производителите преди началото на кампанията. Следователно атаките са насочени към устройства, на които не са инсталирани необходимите актуализации за сигурност.
Операцията включва и създаването на фалшиви копия на сайта на американската инициатива America250, посветена на 250-годишнината от независимостта на САЩ, както и на луксозния лондонски хотел „Рафълс Лондон“, разположен в историческата сграда на британското военно министерство.
Хотелът се намира близо до ключови британски държавни институции, включително Министерството на отбраната и резиденцията на министър-председателя на „Даунинг стрийт“ 10.
Според експертите фалшивата страница може да е била предназначена за атаки срещу дипломати и високопоставени посетители.
„Секоя“ отбелязва, че на този етап не е ясно дали нападателите са преследвали конкретни лица, или са се стремили да съберат възможно най-голямо количество информация от незащитени мобилни устройства.
Компанията работи с националните екипи за реагиране при компютърни инциденти в засегнатите държави, включително Украйна, за установяване на потенциалните жертви и прекъсване на инфраструктурата, използвана за атаките.
На 4 ноември американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) включи една от използваните уязвимости в своя каталог на активно експлоатираните слабости в сигурността.
Агенцията потвърди наличието на реални атаки срещу тази уязвимост, но не посочи извършителите и не обвърза решението си с разследването срещу APT29.
Според специалистите случаят показва как вече известни уязвимости могат да бъдат използвани за сложни разузнавателни операции, когато потребителите не актуализират своевременно своите устройства.
Основната препоръка е редовно да се инсталират последните версии на операционните системи и браузърите, тъй като за всички установени в тази кампания уязвимости вече има налични поправки.
Разследването показва и нарастващото значение на компрометираните легитимни сайтове като средство за кибершпионаж. Вместо да убеждават потребителите да изтеглят подозрителни файлове, нападателите използват вече посещавани интернет страници, за да достигнат до потенциалните си жертви.
