Мащабна кампания за кибератаки срещу потребители на iOS и Android, включваща компрометирани и клонирани уебсайтове в САЩ, Украйна, Чехия и България, разкри френската компания за киберсигурност Sekoia. Според специалистите зад нея най-вероятно стои групата APT29, известна още като Midnight Blizzard и Cozy Bear, която от години се свързва със Службата за външно разузнаване на Русия.

Екипът на Sekoia за откриване и изследване на заплахи (TDR) установи кампанията в средата на октомври 2026 г. Оценката за авторството е със средна до висока степен на увереност.

Атаките са използвали три вектора на инфектиране: директно инжектиране на JavaScript в легитимни сайтове, домейни, имитиращи легитимни, и компрометиране на веригата за доставки на украинска услуга за уеб анализи. И при трите вектора се зарежда външен скрипт, който профилира браузъра и устройството на посетителя, след което сървърът на нападателите автоматично задейства подходяща атака, без потребителят да предприема каквото и да е действие.

При iOS са използвани инструменти за кражба на бисквитки от браузъра, а при други версии на системата и комплектът DarkSword. Той е способен да извлича SMS и съобщения от iMessage, WhatsApp и Telegram, запазени пароли, снимки, контакти, данни за местоположението и здравни данни. При Android целите са определени версии на Chrome, а се крадат данни за вход, история на сърфирането и пароли за Wi-Fi мрежи.

Сред засегнатите са сайт на украинска газодобивна компания, ресурс от американската химическа индустрия, сайт на европейска крайнодясна партия и български сайт, свързан с военната сфера. При него нападателите са променили съществуваща JavaScript библиотека и са внедрили зловреден код, който може да пренасочва посетителите към инфраструктура на хакерите. Sekoia не разкрива името и адреса на сайта и не съобщава дали негови посетители са били успешно атакувани.

Най-сериозен е случаят с украинската платформа за уеб анализ Plerdy. Между 27 август и 3 септември нападателите са внедрили зловреден код в неин инструмент, ползван от хиляди предимно украински сайтове, сред които и такива, свързани с армията, специалните части и производители на военно оборудване, включително дронове.

Операцията включва и фалшиви копия на сайта на американската инициатива America250 и на хотел „Рафълс Лондон“, разположен в сградата на бившето британско военно министерство, близо до Министерството на отбраната и „Даунинг стрийт“ 10. Според експертите последната страница може да е била предназначена за дипломати и високопоставени посетители.

Sekoia уточнява, че уязвимостите са били отстранени от производителите преди началото на кампанията, т.е. атаките са насочени към устройства без актуализации. Не е ясно дали нападателите са преследвали конкретни лица, или са искали да съберат максимално количество данни. Компанията работи с националните екипи за реагиране при компютърни инциденти в засегнатите държави, включително в Украйна. На 4 ноември американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) включи една от използваните уязвимости в каталога си на активно експлоатираните, без да посочва извършители.

Препоръката на специалистите е потребителите редовно да инсталират последните версии на операционните системи и браузърите, тъй като за всички уязвимости в кампанията вече има налични поправки.