In questo articolo Indice dei contenuti 2 sezioni
Un gruppo di hacker probabilmente legati al Cremlino ha sfruttato vulnerabilità di iOS e Android già corrette da tempo per provare a infettare gli smartphone di chi visitava diversi siti web, compreso uno dedicato ai 250 anni dell’indipendenza americana. A renderlo noto mercoledì sono stati i ricercatori della società di sicurezza Sekoia, che attribuiscono l’operazione al Servizio di intelligence estera russo con un livello di fiducia definito “da moderato ad alto”.
Oltre al portale celebrativo statunitense, gli attaccanti hanno preso di mira molte altre pagine, in buona parte collegate alla guerra in Ucraina ancora in corso. Il meccanismo partiva nel momento in cui un utente con iPhone o con un dispositivo Android apriva uno dei siti coinvolti, potenzialmente centinaia. A quel punto un codice JavaScript iniettato nel traffico analizzava il telefono e ne tracciava il profilo. Il passo successivo consisteva nell’inviare un payload calibrato sulla piattaforma rilevata, con l’obiettivo di sottrarre i cookie del browser e, in alcuni casi, anche le password delle reti WiFi e l’intero contenuto del dispositivo mobile.
iPhone e Android: siti clonati e un hotel di lusso vicino a Downing Street
Tra le pagine imitate c’era america250.org, che appartiene a un gruppo apartitico formato da parlamentari, dirigenti d’azienda e almeno un ex membro dell’amministrazione Trump. Gli autori dell’attacco hanno registrato il dominio america250[.]holiday e lo hanno utilizzato come proxy inverso verso il sito originale. In pratica la copia mostrava i contenuti autentici, ma con l’aggiunta del codice malevolo. Secondo i ricercatori di Sekoia la scelta potrebbe essere stata tutt’altro che casuale: il legame con una celebrazione nazionale di grande richiamo avrebbe offerto un pretesto credibile per campagne di spear phishing basate su finti inviti.
Un secondo dominio, theowo[.]club, faceva da proxy al sito del Raffles London at The OWO, un albergo di lusso che si trova a pochi passi da alcune delle istituzioni più delicate del Regno Unito, tra cui il Ministero della Difesa e il numero 10 di Downing Street, residenza e ufficio del Primo Ministro britannico. Fonti aperte indicano che il presidente ucraino Volodymyr Zelensky vi ha alloggiato durante una visita il 14 ottobre. Imitando quella struttura, spiegano gli analisti, il gruppo avrebbe potuto puntare a delegazioni diplomatiche e ospiti di alto profilo attraverso messaggi di phishing mirati.
DarkSword e le altre catene di exploit
Gli attacchi sono passati anche da siti compromessi, fra cui quello di una delle principali aziende ucraine di produzione di gas, e da un servizio ucraino di analisi web che lavora per migliaia di portali. Sekoia basa l’attribuzione a Mosca sul profilo degli obiettivi e sulle somiglianze con un’offensiva precedente collegata ad APT29, uno dei nomi con cui viene identificato il presunto gruppo russo.
Le strade usate per colpire erano tre: l’iniezione diretta di JavaScript nel traffico di siti legittimi, i domini proxy come america250[.]holiday e la compromissione della catena di fornitura legata al servizio di analisi ucraino. Il codice inserito era sempre identico. Nella prima fase esaminava browser e dispositivo del visitatore, poi quelle informazioni servivano a scegliere una tra tre catene di exploit zero click, capaci di agire senza che la vittima debba fare nulla.
Una di queste era DarkSword, un kit di exploit per iOS che, secondo i ricercatori di Google, è stato impiegato dai clienti di PARS Defense, fornitore commerciale di strumenti di sorveglianza con sede in Turchia, e da almeno altri due attori malevoli. Nella campagna più recente, precisa Sekoia, sono comparse anche altre due catene di exploit rimaste senza nome.
Tutte le vulnerabilità sfruttate erano di tipo n day, cioè falle per le quali esisteva già una correzione. Per questo gli attacchi andavano a segno soltanto sui dispositivi con versioni non aggiornate di iOS o Android.
Fonte: TecnoAndroid