Per attaccare gli smartphone bastava arrivare sul sito sbagliato
Sekoia ha ricostruito una campagna contro iPhone e Android che passava da siti compromessi, copie di siti noti e un servizio di analisi web manomesso. Gli attacchi sfruttavano vulnerabilità già corrette sui dispositivi non aggiornati.
Che succede
Non chiedevano di installare un’app: cercavano il telefono giusto fra i visitatori di una pagina web. Il rapporto pubblicato da Sekoia il 4 novembre descrive una campagna che profilava browser e dispositivo e poi inviava una catena d’attacco adatta alla versione di iOS o Android trovata.
I ricercatori hanno individuato tre strade verso lo stesso sistema: codice inserito in siti legittimi, domini che copiavano e inoltravano il contenuto di siti conosciuti, e la compromissione di Plerdy SEO Tracker, un componente esterno per l’analisi del traffico. In quest’ultimo caso, fra il 27 agosto e il 3 settembre, il codice ostile poteva raggiungere visitatori di numerosi siti attraverso una dipendenza condivisa.
Le catene osservate usavano falle già note e corrette, i cosiddetti n-day. Sui dispositivi ancora vulnerabili potevano raccogliere cookie del browser e, a seconda della catena, altri dati del telefono o password Wi-Fi. Rubare un cookie di sessione può permettere di riutilizzare un accesso già autenticato: il bersaglio non è necessariamente una password digitata davanti alla pagina falsa.
Sekoia attribuisce l’operazione ad APT29 con confidenza da moderata ad alta, sulla base di sovrapposizioni tecniche, infrastruttura e modalità operative. La ricostruzione mostra soprattutto come si cercassero le vittime: compromettendo i luoghi che potevano visitare, per poi selezionare i dispositivi attaccabili. Che una pagina fosse coinvolta non dimostra che ogni suo visitatore sia stato infettato.
Perché conta
Un sito può essere la porta d'ingresso anche quando non è lui il bersaglio finale. Il componente di analisi condiviso allarga la superficie raggiungibile; il riconoscimento del dispositivo restringe poi l'attacco ai telefoni su cui una vecchia falla funziona ancora.
Vuoi sapere di più su pillole come questa?