Hacker russi, siti trappola per spiare iPhone e Android non aggiornati

La società di sicurezza informatica Sekoia ha descritto in un rapporto diffuso mercoledì 4 novembre una campagna di spionaggio contro smartphone iPhone e Android, portata avanti attraverso siti web compromessi o costruiti per imitare portali legittimi. I ricercatori la attribuiscono, con un grado di confidenza da moderato a elevato, al gruppo noto come APT29, ritenuto legato ai servizi di intelligence russi.

Come funzionava l'attacco

Secondo Sekoia, chi apriva una delle pagine infette eseguiva senza accorgersene un codice che rilevava il modello del dispositivo e la versione del sistema operativo o del browser. In base al risultato, il server degli attaccanti inviava la catena di exploit adatta a quel telefono, senza che all'utente fosse chiesto di toccare nulla.

Tra le esche c'erano una copia falsa del sito ufficiale per i 250 anni dell'indipendenza degli Stati Uniti e una del sito dell'hotel Raffles London at The OWO, a due passi dai palazzi del governo britannico. Il codice malevolo è stato trovato anche sul sito di un'azienda ucraina che produce gas e su quello di un'associazione statunitense dell'industria chimica. Tra la fine di agosto e l'inizio di settembre, inoltre, gli attaccanti avrebbero manomesso lo script di Plerdy, un servizio ucraino di analisi del traffico web caricato da migliaia di siti.

Dati presi di mira e versioni coinvolte

Sugli iPhone con iOS 18.5 la catena più avanzata sfruttava componenti del kit DarkSword, già usato in passato da altri gruppi, per sottrarre tra l'altro foto, dati di posizione e archivi di app di messaggistica come WhatsApp e Telegram. Sui modelli fermi a iOS 16 l'obiettivo erano i cookie del browser. Su Android l'attacco colpiva versioni non aggiornate di Chrome per rubare cookie, cronologia di navigazione e password delle reti Wi-Fi salvate.

Il numero dei dispositivi effettivamente compromessi non è stato reso noto. Nei resoconti pubblicati finora non sono citati casi in Italia.

Gli aggiornamenti bloccano l'attacco

Tutte le vulnerabilità usate nella campagna erano già conosciute e corrette da Apple e Google: non si tratta di falle nuove. Per questo gli attacchi descritti non hanno effetto sui telefoni con gli ultimi aggiornamenti installati. L'indicazione dei ricercatori è quindi di installare appena possibile gli aggiornamenti di sicurezza disponibili per il proprio dispositivo.

Fonti: ANSA, The Record, BleepingComputer