MY.UAНовости
С картинками
Текстовый вид
ru
УкраинскийРусский
5 ноября, четверг
Дослідники виявили, як розвідка рф зламувала смартфони через сайти
Дослідники виявили, як розвідка рф зламувала смартфони через сайти

Дослідники виявили, як розвідка рф зламувала смартфони через сайти

Російські хакери з угруповання APT29 зламували iPhone і Android-смартфони відвідувачів українських та західних сайтів, і для зараження вистачало просто відкрити сторінку. Одним із каналів атаки став код українського сервісу вебаналітики Plerdy, який стоїть на тисячах сайтів.

Про кампанію кампанію пише Ars Technica.

Хто стоїть за атакою на смартфони

  • Команда Threat Detection & Research від Sekoia помітила підозрілу активність у середині жовтня на сайті української газовидобувної компанії. 
  • Звідти ниточка потягнулася далі. У Sekoia з помірною або високою впевненістю пов'язують кампанію з APT29, яку також знають як Cozy Bear і Midnight Blizzard. 
  • Угруповання працює на Службу зовнішньої розвідки рф.
  • Аргументів у дослідників три. На одному зі зламаних сайтів знайшлися сліди операції APT29 2025 року. Схема нагадує кампанію 2024-го проти урядових сайтів Монголії, яку підтвердила Google Threat Analysis Group. 
  • А список жертв крутиться довкола України. 

Для українців такі новини вже не дивина: навесні російські хакери зламали сотні поштових скриньок українських прокурорів і посадовців.

Які сайти хакери перетворили на пастки 

Зловмисники використали три способи. Перший: вбудовували шкідливий JavaScript просто в код справжніх сайтів. Серед них ресурси української газовидобувної компанії, американської асоціації хімічної промисловості, ультраправої європейської партії, болгарської організації, пов'язаної з армією, і австралійської медичної клініки.

Другий спосіб хитріший. Хакери зареєстрували два домени-двійники, які показували справжні сторінки America250 (ініціатива до 250-річчя США) та лондонського готелю Raffles London at The OWO. Готель розташований поруч із Міноборони Британії та Даунінг-стріт. 

Третій спосіб найнеприємніший для України. З 27 серпня по 3 вересня 2026 року шкідливий код роздавали через скрипт відстеження Plerdy. Цей сервіс працює на тисячах переважно українських сайтів, зокрема на сторінках армії, сил спецоперацій і виробників військової техніки.

Що саме крали зі смартфонів російські хакери АРТ29

Усі три шляхи вели до одного: скрипт перевіряв, який у відвідувача телефон і браузер, а сервер підбирав під нього готовий ланцюжок експлойтів. Користувачу не треба було нічого натискати.

  • iOS 16.7. Зв'язка вразливостей CVE-2025-43529 та CVE-2024-27834 дозволяла красти cookies із Safari. З ними хакер може зайти, наприклад, у вашу пошту без пароля.
  • iOS 18.5. Тут працював набір експлойтів DarkSword із п'ятьма вразливостями. Він витягував майже все: SMS, iMessage, WhatsApp, Telegram, паролі зі зв'язки ключів, геолокацію, дані про здоров'я та фото. Навесні українські сайти вже заражали тим самим DarkSword.
  • Android із Chrome версій 139–145 (крім 143). Помилка в Chrome CVE-2026-3910 разом із вразливістю графічного драйвера Adreno CVE-2025-27038 давали доступ до cookies, збережених логінів, історії браузера та паролів від Wi-Fi.

Шпигунський код не закріплювався в системі: після відправлення даних він зникав, а перезавантаження зупиняло атаку. Проте якщо незахищений телефон знову потрапляв на заражений сайт, усе починалося спочатку. Скільки пристроїв вдалося зламати, дослідники не з'ясували.

Як захистити свій телефон від хакерів 

Apple і Google закрили всі ці вразливості ще до початку кампанії. Тож рецепт простий: оновіть iOS або Android і окремо перевірте, чи свіжа у вас версія Chrome. 

Apple регулярно випускає термінові оновлення безпеки, і відкладати їх «на потім» тепер особливо ризиковано. 

Якщо ви заходили на сайти військових виробників чи силових структур наприкінці серпня з неоновленого телефону, варто змінити паролі від пошти й месенджерів і вийти з усіх активних сесій.

Источник материала
InternetUAInternetUA
loader
loader