Изследователи от компанията за киберсигурност Sekoia са разкрили кампания на руската хакерска група APT29 (позната и като Cozy Bear) – групировка, свързвана от западни разузнавателни служби с руското външно разузнаване. Част от операцията е включвала хакнат сайт, свързан с българската армия, съобщава онлайн журналът De Re Militari.

Как е действала атаката

Вместо да атакуват директно военни системи, хакерите са модифицирали вече съществуващи, доверени сайтове, включително българския така, че да заразяват телефоните на определени посетители. Когато такъв посетител отворел сайта, невидим за него код проверява на устройството и версията на браузъра му. Ако жертвата отговаря на профила и телефонът ѝ не е с последните обновления, сайтът се е опитвал да инсталира зловреден софтуер, без жертвата изобщо да разбере.

Какво е можел да прави зловредният софтуер

При по-усъвършенстваните варианти на атаката зловредният софтуер е предоставял достъп до чувствителна информация от мобилното устройство. Сред потенциално откраднатите данни са съобщения, запазени пароли, пароли за Wi-Fi мрежи, информация за местоположението и снимки.

Любопитна особеност е начинът, по който е функционирал софтуерът. Вместо да се установява трайно в устройството, той е извличал необходимата информация и след това е изчезвал. Така се е намалявала вероятността от откриване на продължителна инфекция при последваща проверка на телефона.

Важно е да се отбележи, че атаките са разчитали на конкретни уязвимости и са били ефективни срещу устройства, на които не са били инсталирани необходимите актуализации. При напълно обновени телефони експлоатацията не е сработвала според анализа на изследователите. Това още веднъж подчертава значението на редовните актуализации на операционната система и браузъра.

България не е единствената засегната страна

Кампанията не се е ограничавала само до сайта на българската армия сайт. Сред останалите идентифицирани цели са украинска газова компания, американска индустриална асоциация, сайт на европейска политическа партия, а чрез хакнат инструмент за статистика на сайтове – хиляди украински сайтове, свързани с армията.

APT29 е една от най-известните руски хакерски групировки

APT29 е една от най-известните и дълго действащи руски хакерски групировки, свързвана в миналото с мащабни операции срещу западни правителства и политически партии (включително германски партии), а също и с прочутата атака срещу SolarWinds през 2020 година. Изследователите от Sekoia определят връзката с APT29 като вероятна, не стопроцентово доказана, и признават, че не знаят откъде групата се е сдобила с инструментите за пробив в телефоните – възможно е да са закупени, а не разработени от самите хакери.