Een aan Rusland gelieerde hackersgroep heeft iPhone- en Android-gebruikers in Oekraïne, de Verenigde Staten en Europa aangevallen in een spionagecampagne gericht op het buitmaken van gevoelige smartphonegegevens. Volgens het Franse cybersecuritybedrijf Sekoia ging het om een operatie van APT29, ook bekend als Cozy Bear of Midnight Blizzard. Die groep wordt breed in verband gebracht met de Russische buitenlandse inlichtingendienst SVR.
De campagne combineerde meerdere aanvalsroutes: kwaadaardige code op legitieme websites, nagemaakte versies van bekende sites en een besmet script van een Oekraïense webanalyticsdienst. In sommige gevallen was geen klik of download van het slachtoffer nodig om kwetsbare toestellen aan te vallen. De onderzoekers benadrukken wel dat de gebruikte kwetsbaarheden al eerder door Apple en Google waren gedicht; volledig bijgewerkte apparaten zouden volgens hen niet vatbaar zijn geweest voor deze aanvallen.
Kwaadaardige code op echte en nagemaakte websites
Het onderzoek begon nadat Sekoia kwaadaardige code aantrof op de website van een niet bij naam genoemde Oekraïense gasproducent. Verdere analyse wees op vergelijkbare compromitteringen bij andere organisaties. Daaronder vielen een grote Amerikaanse branchevereniging voor de chemische industrie en een extreemrechtse Europese politieke partij.
Daarnaast zetten de aanvallers valse varianten op van twee prominente websites. Het ging om America250, een initiatief rond de 250e verjaardag van de Amerikaanse onafhankelijkheid, en Raffles London at The OWO, een luxehotel in Londen in de buurt van meerdere Britse overheidsgebouwen. De nepsites toonden inhoud die leek op de echte websites, maar draaiden tegelijk code die bezoekers moest herkennen met kwetsbare apparaten.
Volgens Sekoia kan de nagemaakte America250-site zijn gebruikt om doelwitten te lokken met uitnodigingen voor herdenkingsevenementen. De valse hotelsite kan bedoeld zijn geweest voor diplomaten of andere hooggeplaatste gasten. Onderzoekers merken op dat de Oekraïense president Volodymyr Zelensky tijdens een bezoek in oktober naar verluidt in het Londense Raffles verbleef, maar zij vonden geen bewijs dat hij doelwit was.
Webanalyticsdienst Plerdy vergrootte bereik
Een van de breedste onderdelen van de operatie draaide om Plerdy, een Oekraïense webanalyticsdienst die door duizenden websites wordt gebruikt, vooral in Oekraïne. Tussen eind augustus en begin september plaatsten de aanvallers kwaadaardige code in een trackingscript dat via deze dienst werd verspreid.
Daardoor konden bezoekers van honderden websites mogelijk worden blootgesteld aan de aanvalscode. Volgens de onderzoekers ging het ook om websites die verband houden met het Oekraïense leger, speciale eenheden en producenten van drones en ander militair materieel. Het besmette script stelde de aanvallers in staat om apparaten en softwareversies van bezoekers te identificeren voordat zij probeerden bekende beveiligingslekken te misbruiken.
Sekoia heeft niet vastgesteld of de operatie vooral was gericht op vooraf geselecteerde personen, of dat de aanvallers zo veel mogelijk kwetsbare toestellen wilden inventariseren om later waardevolle doelwitten te bepalen. Ook is niet bekend hoeveel smartphones daadwerkelijk zijn gecompromitteerd of hoeveel informatie is buitgemaakt.
Gegevensdiefstal op iOS en Android
De gebruikte aanvalstechniek verschilde per toestel en besturingssysteem. Bij oudere iPhones met iOS 16 probeerden de aanvallers browser- en applicatiecookies te stelen. Zulke cookies kunnen in bepaalde gevallen toegang geven tot online accounts, zonder dat opnieuw een wachtwoord nodig is.
Een geavanceerdere aanval tegen kwetsbare iPhones met iOS 18.5 kon volgens de onderzoekers veel meer informatie verzamelen. Daarbij ging het onder meer om berichten, e-mails, wachtwoorden, contacten, foto’s, locatiegeschiedenis en gegevens uit berichtendiensten zoals WhatsApp en Telegram. Deze aanval maakte gebruik van DarkSword, een vermoedelijk commercieel ontwikkelde surveillancetoolkit die grote hoeveelheden gegevens van iPhones kan halen. DarkSword is eerder in verband gebracht met operaties tegen gebruikers in Saudi-Arabië, Turkije en Maleisië.
Op Android-toestellen misbruikten de aanvallers kwetsbaarheden in oudere versies van Google Chrome. Daarmee konden zij browsergegevens, cookies en opgeslagen wifiwachtwoorden buitmaken. Anders dan bij sommige spywarecampagnes leek het doel niet te zijn om langdurig aanwezig te blijven op het toestel. De aanvallen waren ingericht om informatie te extraheren zonder permanente toegang te behouden.
Analyse: bekende kwetsbaarheden blijven strategisch waardevol
Het opvallende aan deze campagne is niet dat er onbekende zero-days zijn gebruikt, maar juist dat eerder gepatchte kwetsbaarheden voldoende bleken om een internationale spionageoperatie op te zetten. Dat maakt de zaak relevant voor zowel overheden en defensiegerelateerde organisaties als bedrijven en particulieren: smartphones bevatten vaak de toegang tot e-mail, chatapps, cloudaccounts, locatiegegevens en zakelijke communicatie.
Voor organisaties laat de campagne zien dat ook vertrouwde websites en externe scripts risico’s kunnen introduceren. Een besmet analyticscript kan bezoekers van veel verschillende sites tegelijk blootstellen, zonder dat die websites zelf aanvallende inhoud hoeven te hosten. Voor individuele gebruikers is vooral de afhankelijkheid van actuele software zichtbaar: volgens Sekoia werkten de beschreven aanvallen niet tegen volledig bijgewerkte apparaten.
Sekoia zegt samen te werken met computer emergency response teams in getroffen landen om mogelijke slachtoffers te identificeren en de infrastructuur van de aanvallers te verstoren. Daarmee is de technische analyse nog niet het einde van de zaak: pas vervolgonderzoek kan duidelijk maken welke toestellen daadwerkelijk zijn geraakt en welke informatie mogelijk in handen van de aanvallers is gekomen.
Bron: therecord.media
