Для описанных атак было достаточно загрузить страницу на уязвимом устройстве. Все ошибки, задействованные в разобранных цепочках, производители исправили до начала кампании.
Вредоносный код загружался и с настоящих сайтов
В одних случаях атакующие меняли код настоящего сайта, в других показывали копию знакомой страницы со своим скриптом. Ещё один способ охватить посетителей сразу нескольких сайтов появился после подмены скрипта веб-аналитики Plerdy. По данным Sekoia, изменённый скрипт распространялся с 27 августа по 3 сентября.
Скрипт Plerdy подключали тысячи сайтов. Сколько устройств в итоге удалось скомпрометировать, из этого числа установить нельзя. Sekoia связывает кампанию с APT29 и оценивает свою уверенность в этой версии как умеренную или высокую.
Какие данные были целью
Набор данных зависел от устройства. Одна из цепочек для iPhone собирала файлы cookie Safari, другая могла получить больше данных, в том числе базы мессенджеров. На Android исследователи обнаружили код для сбора данных Chrome и сохранённых паролей Wi-Fi. Украденные файлы cookie в некоторых случаях позволяют воспользоваться уже открытым сеансом в веб-сервисе.
Почему важна версия браузера
Изученные атаки были рассчитаны на определённые версии iOS и Chrome для Android. Проверьте, установлены ли доступные обновления системы и браузера. Для рабочей команды этот случай важен ещё и тем, что вредоносный скрипт может загрузиться на сайте, который сотрудник знает и которому привык доверять.
Редакция EALP · Обновлено