Masz iPhone'a lub Androida? Wystarczy wejść na stronę, by stracić dane

Cyberprzestępcy powiązani prawdopodobnie z rosyjskim wywiadem wykorzystali luki w iOS i Androidzie do przeprowadzenia ataków na użytkowników smartfonów. Ofiary nie musiały instalować aplikacji ani klikać podejrzanych załączników. Wystarczyło odwiedzenie odpowiednio przygotowanej strony internetowej.

Kampania Poisoned Source obejmowała witryny odwiedzane przez użytkowników w Stanach Zjednoczonych, Ukrainie, Czechach i Bułgarii. Badacze przypisują ją grupie APT29, łączonej z rosyjską Służbą Wywiadu Zagranicznego.

Zaufane strony stały się pułapką

Według firmy Sekoia atakujący wykorzystywali technikę watering hole, polegającą na umieszczaniu złośliwego kodu w witrynach odwiedzanych przez potencjalne ofiary.

Cyberprzestępcy powiązani prawdopodobnie z rosyjskim wywiadem wykorzystali luki w iOS i Androidzie do przeprowadzenia ataków na użytkowników smartfonów.

Jednym z celów była strona poświęcona 250. rocznicy podpisania Konstytucji Stanów Zjednoczonych. Badacze podejrzewają, że jej tematyka mogła posłużyć również jako pretekst do kampanii phishingowych wykorzystujących zaproszenia. Zidentyfikowano także zaatakowane strony amerykańskiego stowarzyszenia przemysłu chemicznego, czeskiego ruchu politycznego oraz bułgarskiej organizacji związanej z wojskiem.

Przestępcy stosowali trzy sposoby dostarczania złośliwego kodu. Umieszczali go na prawdziwych stronach internetowych, wykorzystywali fałszywe domeny związane z autentycznymi serwisami oraz przejęty skrypt analityczny. Ten ostatni element obejmował ukraińską usługę Plerdy SEO Tracker, wykorzystywaną od 27 sierpnia do 3 września 2026 roku. Kampanię wykryto w połowie października.

Hakerzy kradli wiadomości, hasła i zdjęcia

Złośliwy JavaScript rozpoznawał system operacyjny, przeglądarkę i jej wersję, a następnie dobierał odpowiedni łańcuch exploitów. Atak mógł przebiegać bez interakcji użytkownika. W przypadku iOS 16.7 wykorzystywano między innymi podatności CVE-2025-43529 i CVE-2024-27834. Inny łańcuch ataku, wymierzony w iOS 18.5, korzystał z zestawu DarkSword.

Pozwalał on na próbę pozyskania wiadomości iMessage, baz danych WhatsAppa i Telegrama, haseł z Keychain, lokalizacji oraz zdjęć. Na Androidzie atakowano Chrome w wersjach od 139 do 145, z wyłączeniem 143. Wykorzystywano CVE-2026-3910 i CVE-2025-27038, a końcowy moduł nosił nazwę AndroSnitch.

Celem były również pliki cookie, dane uwierzytelniające, a w niektórych przypadkach hasła Wi-Fi i szersze zasoby telefonu.