Sekoia povezuje APT29 sa napadima na mobilne uređaje preko kompromitovanih sajtova
Istraživači su pronašli tri lanca napada na iOS i Android. Jedan je kombinovao dva ranije ispravljena propusta da bi sa iPhone uređaja prikupio kolačiće sesije. Sekoia kampanju pripisuje grupi APT29 sa umerenim do visokim stepenom pouzdanosti.
Šta se desilo?
Sekoia je analizirala sajtove koji su posetiocima učitavali skriptu za prepoznavanje uređaja. Napadači su koristili kompromitovane stranice, domene koji oponašaju legitimne sajtove i izmenjenu skriptu za analitiku Plerdy. Server je birao nastavak napada prema sistemu i verziji browser-a.
Koga pogađa?
Izloženi su bili posetioci koji su učitali takvu stranicu sa odgovarajućom ranjivom verzijom softvera. Sekoia je u jednoj grani uočila ciljanje iOS-a 16.7. Druga grana bila je prilagođena novijem iOS-u, a treća određenim verzijama Chrome-a za Android.
Kako se zaštititi?
- Instalirajte najnovije podržano ažuriranje operativnog sistema i browser-a na telefonu.
- Na službenim uređajima proverite instalirane verzije kroz sistem za upravljanje uređajima.
- Ako postoje tragovi napada, sa pouzdanog uređaja opozovite sesije pogođenih naloga i sačuvajte evidenciju prijava.
Tehnički detalji
U prvoj grani napada CVE-2025-43529 je omogućavao izvršavanje koda u komponenti WebKit. CVE-2024-27834 je potom omogućavao zaobilaženje provere autentičnosti pokazivača u memoriji. Za drugi propust NVD navodi CVSS 3.1 ocenu 5,5. Apple je ispravku uključio u iOS i iPadOS 16.7.8 i 17.5, kao i u Safari 17.5. Za Android je korišćen zaseban lanac.
Zašto je važno?
Ukradeni kolačić aktivne sesije može da omogući pristup servisu na koji se korisnik ranije prijavio. Poseta legitimnom sajtu mogla je da pokrene napad ako je sajt učitavao izmenjenu skriptu.
Preporuka Sajber Radara
Dajte prednost ažuriranju telefona sa pristupom poslovnoj pošti. Ako sumnjate na krađu sesije, proverite pristup pošti i nakon ažuriranja uređaja.