Una campagna di attacchi informatici su larga scala, rivolta sia agli utenti iPhone che Android, è stata individuata dalla società di sicurezza Sekoia. Gli attaccanti avrebbero sfruttato vulnerabilità note per infettare con malware gli smartphone delle vittime, inserendo codice JavaScript malevolo in diversi siti web per raccogliere informazioni sui dispositivi dei visitatori e sferrare poi un attacco specifico in base al sistema operativo riconosciuto. Secondo Sekoia, il gruppo responsabile potrebbe avere legami con il Servizio di Intelligence Estero russo (SVR), con un possibile coinvolgimento statale.
Siti civetta che imitano enti ufficiali
Una delle particolarità di questa campagna è l’uso di siti falsi che imitano pagine reali. Tra i casi più eclatanti figura un sito collegato alle celebrazioni per i 250 anni di indipendenza degli Stati Uniti, america250.org: gli attaccanti avrebbero registrato il dominio civetta america250[.]holiday, utilizzandolo come reverse proxy per mostrare lo stesso contenuto del sito originale, ma con l’aggiunta di JavaScript malevolo capace di analizzare il dispositivo dei visitatori. Secondo Sekoia, l’obiettivo potrebbe essere stato collegare questa infrastruttura a campagne di phishing mirato, magari mascherate da inviti ufficiali.
Un’altra pagina fasulla individuata imitava il sito del celebre hotel londinese Raffles London at The OWO, struttura situata vicino al Ministero della Difesa britannico e a Downing Street, frequentata quindi da diplomatici e figure istituzionali: proprio lo scorso 14 ottobre l’hotel avrebbe ospitato il presidente ucraino Zelensky, un dettaglio che rafforza l’ipotesi di un attacco mirato a personalità di alto profilo.
Furto di dati tramite exploit “zero-click”
Il meccanismo dell’attacco prevede che, nel momento in cui un utente visita uno dei siti coinvolti, il codice JavaScript raccolga informazioni sul browser e sul dispositivo, per poi scegliere quale payload inviare in base al sistema operativo rilevato. In diversi casi è stata individuata una catena di exploit “zero-click”, capace quindi di agire senza che la vittima debba cliccare link o scaricare file.
Tra gli strumenti utilizzati figura DarkSword, un tool d’attacco per iOS già analizzato in passato dall’unità di threat intelligence di Google e collegato, tra gli altri, ai clienti dell’azienda turca di sorveglianza commerciale PARS Defense. Gli attaccanti avrebbero utilizzato anche altre due catene di exploit non ancora identificate pubblicamente. Il payload finale sarebbe in grado di sottrarre i cookie del browser e, in alcuni casi, le password Wi-Fi memorizzate e l’intero contenuto dello smartphone.
Siti legittimi compromessi, incluso in Ucraina
Oltre ai domini civetta, Sekoia ha individuato casi di siti web legittimi direttamente compromessi e utilizzati come veicolo per diffondere il codice malevolo, tra cui quello di una grande azienda ucraina del settore gas e un servizio di web analytics ucraino utilizzato da migliaia di siti terzi. In tutti i casi, il codice JavaScript distribuito risultava sostanzialmente lo stesso.
Sulla base dei bersagli colpiti e delle somiglianze con campagne precedenti, Sekoia valuta con un livello di confidenza da medio ad alto un collegamento tra questo gruppo e i servizi di intelligence russi, individuando anche punti in comune con il noto gruppo APT29.
Le vulnerabilità sfruttate erano già state corrette
Un aspetto importante segnalato dai ricercatori è che tutte le vulnerabilità sfruttate in questa campagna erano già note e corrette da tempo dai rispettivi produttori: si tratta quindi di cosiddette vulnerabilità “N-day”, che colpiscono solo i dispositivi non aggiornati all’ultima versione del sistema operativo. L’attacco non è quindi in grado di colpire indiscriminatamente chi utilizza iOS o Android aggiornati, ma rappresenta comunque un monito chiaro: mantenere sempre aggiornato il proprio smartphone resta la difesa più efficace anche contro campagne sofisticate come questa, soprattutto considerando che anche siti apparentemente affidabili possono diventare, se compromessi, un veicolo di attacco.
