Kremlin'e bağlı olduğu değerlendirilen saldırganlar, daha önce yamalanmış iOS ve Android açıklarını kullanarak çok sayıda web sitesi ziyaretçisini hacklemeye çalıştı. Saldırıların, Çarşamba günü güvenlik firması Sekoia araştırmacılarının açıklamasına göre, Rusya Dış İstihbarat Servisi'ne ait bir gruba "orta ila yüksek güvenle" atfedildiği belirtildi.
Saldırganlar, Ukrayna'ya yönelik savaşla bağlantılı birçok siteyi de hedef aldı. iPhone veya Android kullanıcıları potansiyel olarak yüzlerce farklı siteden birini ziyaret ettiğinde saldırılar başladı. Trafiğe enjekte edilen JavaScript cihazı profilleyip, platforma özel son yükleri devreye soktu. Bu yükler tarayıcı çerezlerini çalmaya, bazı durumlarda Wi-Fi şifrelerini ve tam mobil cihaz verilerini ele geçirmeye çalıştı.
DarkSword Kullanıldı
Taklit edilen sitelerden biri, partisiz bir milletvekili, iş insanı ve Trump yönetiminin en az bir eski üyesinden oluşan grubun sitesi america250.org oldu. Saldırganlar america250[.]holiday alan adını kaydetti ve bunu america250.org'a ters proxy olarak kullandı. Sahte site, gerçek siteden gelen içeriği kötü amaçlı JavaScript eklenmiş şekilde sundu.
Sekoia araştırmacıları, "Saldırı grubunun bu siteyi, yüksek profilli ulusal bir kutlama ile ilişkilendirilmesi nedeniyle bilinçli olarak seçmiş olabileceğini ve olayı davet temalı spear-phishing kampanyaları için bir gerekçe olarak kullanmış olabileceğini değerlendiriyoruz" dedi.
İkinci bir site olan theowo[.]club, İngiltere'nin en hassas devlet kurumlarından bazılarının yakınındaki lüks otel Raffles of London OWO'nun sitesini proxyledi. Bu kurumlar arasında Savunma Bakanlığı ve İngiltere Başbakanı'nın resmi ikametgahı ve ofisi 10 Downing Street bulunuyor. Açık kaynak raporlarına göre Ukrayna Devlet Başkanı Volodymyr Zelenskyy, 14 Ekim'de ziyaretinde burada kaldı.
Araştırmacılar, "Raffles London at The OWO'yu su kaynağı saldırısıyla taklit ederek, saldırı grubu diplomatik heyetleri ve yüksek profilli konukları hedefli spear-phishing kampanyalarıyla hedeflemeye çalışmış olabilir" diye konuştu.
Saldırganlar ayrıca tehlikeye atılmış web siteleri üzerinden saldırılarını sürdürdü; bu siteler arasında önde gelen bir Ukraynalı gaz üretim şirketi ve binlerce siteye hizmet veren bir Ukraynalı web analitik servisi yer aldı. Sekoia, Kremlin'e atfetmesini hedef profilleri ve daha önce APT29 adıyla izlenen şüpheli Rus grubuna atfedilen önceki bir saldırıyla benzerliklere dayandırdı.
Hack'ler üç vektörle gerçekleşti: meşru web sitelerinden gelen trafiğe doğrudan JavaScript enjeksiyonu, america250[.]holiday gibi proxy alan adları ve Ukraynalı web analitik servisinin tedarik zinciri üzerinden ele geçirilmesi. Her durumda enjekte edilen JavaScript aynıydı. İlk aşamada JavaScript ziyaretçinin tarayıcısını ve cihazını profilleyip, bu bilgiye göre üç sıfır tıklamalı istismar zincirinden birini gönderdi. Bu zincirler hedeften herhangi bir etkileşim gerektirmiyor.
Zincirlerden biri, Google araştırmacılarının Türkiye merkezli ticari gözetim satıcısı PARS Defense müşterilerinin ve en az iki başka tehdit aktörünün kullandığını söylediği iOS istismar kiti DarkSword oldu. Sekoia, daha yeni kampanyada isimleri açıklanmayan iki başka istismar zincirinin de kullanıldığını belirtti.
Kampanyada istismar edilen tüm zafiyetler "n-day" yani daha önce yamalanmış açıklar arasındaydı ve saldırılar yalnızca iOS veya Android'in güncel olmayan sürümlerinde işliyordu.
