APT29 атакует iOS и Android через уязвимости нулевого клика

Исследователи по кибербезопасности компании Sekoia зафиксировали масштабную кампанию кибершпионажа, в рамках которой злоумышленники атакуют пользователей мобильных операционных систем iOS и Android. Атакующие используют скомпрометированные легитимные веб-ресурсы, а также специально созданные поддельные домены, имитирующие популярные порталы в США, Украине, Чехии и Болгарии.

• Масштабная атака водопоя затрагивает пользователей iOS и Android через взломанные сайты и поддельные порталы.
• Вредоносный JavaScript-код профилирует посетителей и доставляет цепочки эксплойтов без участия пользователя.
• Кампания связывается с русскоязычной группировкой APT29, известной также как Midnight Blizzard.
• Apple и Google уже выпустили необходимые исправления безопасности для уязвимых версий систем.

Механика атак водопоя и профилирование устройств

Кампания начинается с того, что пользователи посещают зараженные сайты, среди которых оказались ресурсы украинского производителя газа, торговой ассоциации химической промышленности США и сайта, связанного с военными структурами Болгарии. Кроме того, злоумышленники использовали фишинговые домены, имитирующие официальный сайт America250 и отель Raffles London, применяя модель атаки «человек посередине». Отдельного внимания заслуживает компрометация украинского сервиса веб-аналитики Plerdy, чей SEO-трекер был изменен и загружался тысячами сайтов в период с 27 августа по 3 сентября.

На первом этапе вредоносный JavaScript-код определяет версию браузера и тип мобильного устройства посетителя. Сервер управления и контроля отправляет на устройство жертвы специфическую для платформы цепочку эксплойтов для атаки нулевого клика. Среди задействованных уязвимостей упоминаются CVE-2025-43529, связанная с эксплойт-набором DarkSword, а также ряд других брешей в защите, включая уязвимость в iOS 18.5. Полезная нагрузка нацелена на кражу баз данных мессенджеров WhatsApp и Telegram, учетных данных из связки ключей Keychain, данных о местоположении и фотографий.

Особенности вредоносного ПО и атрибуция

Аналитики компании Sekoia с умеренной и высокой долей уверенности приписывают эту операцию хакерской группе APT29, также известной как Midnight Blizzard. Выводы основаны на схожести с прошлыми атаками водопоя данной группировки, пересечениях инфраструктуры и анализе скомпрометированных сайтов. Примечательно, что ни один из используемых APT29 вариантов полезной нагрузки не создает постоянного закрепления в системе, поэтому обычная перезагрузка устройства способна остановить вредоносную активность до следующего посещения зараженного сайта.

Рекомендации по безопасности для пользователей

Производители операционных систем Apple и Google уже устранили все уязвимости, задействованные в этой вредоносной кампании. Более того, Apple выпустила исправления даже для более старых версий iOS в рамках политики обратного портирования патчей. Специалисты по безопасности настоятельно рекомендуют пользователям мобильных устройств как можно скорее установить последние доступные обновления безопасности, чтобы защитить свои персональные данные от несанкционированного доступа.