In questo articolo Indice dei contenuti 2 sezioni
Una vasta campagna di attacchi zero click attribuita a hacker russi ha preso di mira gli utenti iOS e Android che visitavano siti compromessi oppure portali fasulli costruiti per imitare quelli autentici. La tecnica scelta è quella del watering hole. In pratica gli aggressori non vanno a cercare le vittime una per una ma si appostano dove sanno che passeranno, e da lì colpiscono sfruttando exploit n day, cioè falle già note e corrette dai produttori ma ancora presenti sui dispositivi non aggiornati. L’operazione ha coinvolto diversi siti di alto profilo negli Stati Uniti, in Ucraina, nella Repubblica Ceca e in Bulgaria. Tutti distribuivano lo stesso codice iniziale, pensato per schedare chi arrivava sulla pagina e capire con quale dispositivo stesse navigando. Questa prima fase permette all’attaccante di individuare la versione del browser e lanciare catene di exploit specifiche per ogni piattaforma, senza che l’utente debba toccare nulla.
Dietro la campagna ci sarebbe APT29
I ricercatori della società di sicurezza informatica Sekoia attribuiscono l’operazione, con un grado di fiducia che va da moderato ad alto, ad APT29, noto anche come Midnight Blizzard. Si tratta di un gruppo russo collegato di recente anche ad attacchi condotti attraverso le reti WiFi degli hotel. Tra i siti legittimi finiti sotto controllo dei criminali compaiono quello di un produttore di gas ucraino, quello di un’associazione di categoria statunitense dell’industria chimica e un portale bulgaro legato all’ambito militare. Poi ci sono i domini clone, che imitavano il sito ufficiale di America250 e quello del Raffles London at The OWO. Queste copie facevano da ponte verso le pagine originali e ne ritrasmettevano i contenuti, secondo lo schema noto come adversary in the middle. Non è finita qui. Gli esperti hanno scoperto che il gruppo era riuscito a violare anche Plerdy, servizio ucraino di analisi web, modificandone il tracker SEO. Quel componente veniva caricato da migliaia di siti, soprattutto ucraini, e il codice alterato è rimasto attivo tra il 27 agosto e il 3 settembre.
In ogni caso il primo passo era sempre un codice JavaScript incaricato di profilare i visitatori. Una volta raccolte le informazioni su dispositivo e browser, il server di comando e controllo inviava la catena di exploit più adatta al bersaglio.
Cosa rubavano gli exploit su iPhone e smartphone Android
Secondo l’analisi, gli aggressori hanno sfruttato una serie di vulnerabilità per sottrarre cookie, archivi delle app di messaggistica e credenziali. Su iOS 16.7 venivano usate due falle e l’obiettivo erano i cookie salvati in Safari. Su iOS 18.5 la catena ne combinava cinque e il bottino era decisamente più ricco, con i database di WhatsApp e Telegram, le credenziali conservate nel Portachiavi, i dati sulla posizione e le foto. Sul fronte Android il bersaglio era Chrome, dalla versione 139 alla 145 con l’eccezione della 143. Qui due vulnerabilità aprivano la strada ad AndroSnitch, uno strumento capace di raccogliere cookie del browser, dati di accesso, cronologia di navigazione e password delle reti WiFi memorizzate.
I ricercatori hanno individuato anche altre quattro falle presenti in porzioni di codice irraggiungibili o in percorsi alternativi, che però non risultano impiegate nelle catene esaminate. Una delle vulnerabilità usate, identificata come CVE 2025 43529, è collegata al kit di exploit DarkSword, documentato per la prima volta a marzo e sfruttato da diversi gruppi almeno dal novembre 2025.
Un dettaglio rilevante riguarda la persistenza. Nessuno dei payload usati da APT29 in questa campagna restava installato in modo stabile sul dispositivo, quindi un semplice riavvio bastava a interrompere l’attività malevola, almeno fino a una nuova visita su un sito compromesso. Per quanto riguarda l’attribuzione, Sekoia segnala somiglianze con precedenti operazioni watering hole dello stesso gruppo, sovrapposizioni nell’infrastruttura e un sito violato che un partner aveva già ricondotto a una campagna di APT29 del 2025.
Apple e Google hanno corretto tutte le falle prese di mira, e le patch sono arrivate anche sulle versioni meno recenti di iOS. Agli utenti viene raccomandato di installare gli ultimi aggiornamenti di sicurezza disponibili per i propri dispositivi.
Fonte: TecnoAndroid