Uma campanha global de ataques utilizou sites comprometidos e brechas de segurança já conhecidas em sistemas operacionais para infectar iPhones e celulares Android, com roubo de senhas dados de navegação e, até mesmo, chaves de criptografia. A ação maliciosa combinou táticas de invasão de páginas legítimas com envenenamento de serviços de análise de tráfego na internet.
As descobertas foram detalhadas em relatórios de empresas de cibersegurança, como Sekoia, Report URI, iVerify e Zimperium zLabs. Segundo as investigações, os criminosos exploram vulnerabilidade os conhecidas para as quais já existiam correções disponíveis pelos fabricantes e atingiram principalmente dispositivos com os sistemas desatualizados. A ação maliciosa combinou táticas de invasão de páginas legítimas com envenenamento de serviços de análise de tráfego na internet.
Ataques cibernéticos globais usam falhas antigas para roubar celulares
A campanha mapeada pelos especialistas utilizou diferentes frentes de infecção, incluindo a invasão direta de portais de notícia, sites militares, plataformas de e-commerce que utilizavam a plataforma PrestaShop e pacotes de código legítimos distribuídos pelo gerenciador npm. Para os pesquisadores, um vetor de destaque foi o comprometimento temporário de um serviço ucraniano de análise de tráfico de web, o Plerdy SEO Tracker, que fez com que milhares de sites exibissem códigos maliciosos aos visitantes.
Paralelamente, outras campanhas investigadas pelo Report URI e iVerify revelaram o uso de domínios expirados que pertenciam a antigo servidores de publicidade e estatísticas. Após esses endereços caírem em desuso, os cibercriminosos os compraram de volta e fizeram com que milhares de páginas na internet que ainda carregavam esses códigos passassem a redirecionar os usuários de iPhone para kit de exploração conhecidos como Coruna e DarkSword.
Infográfico elaborado pela Sekoia detalha a campanha de invasões em watering holes atribuída ao grupo APT29, ilustrando o fluxo de infecção que atinge dispositivos iOS e Android por meio de sites legítimos comprometidos e serviços de análise web. Foto: Reprodução/Sekoia
Ambos os kits atacam com navegador em si. Simplesmente, abrir a página é suficiente para que o dispositivo seja comprometido. Não há nada para tocar, você não precisa clicar em nenhum link, nada pra instalar em nenhum aviso. Se o iPhone estiver rodando uma versão vulnerável do iOS, o kit sai do navegador e instala spyware (um software espião) no dispositivo
Scott Heline, pesquisador do Report URI
Como os ataques agiam nos dispositivos móveis
No celulares da Apple, a infecção ocorria de forma silenciosa por meio de falhas em inversões específicas do iOS, como o sistema operacional móvel anterior à versão 18. Os códigos maliciosos conseguiam escapar da área de segurança restrita do navegador e acessar o sistema para coletar dados confidenciais, incluindo mensagens, histórico de navegação, fotos, arquivos do iCloud Drive e credenciais de carteira de criptomoedas, como Binance, Coinbase e Trust Wallet.
Diagrama da arquitetura de entrega de exploits divulgado pela Sekoia, demonstrando o funcionamento de páginas de isca, o rastreamento oculto e os caminhos de execução dos kits Coruna e DarkSword em diferentes versões do sistema iOS. Foto: Reprodução/Zimperium
No caso os aparelhos Android, os ataques miravam falhas em versões do navegador Chrome para executar códigos remotos e extrair dados navegação, históricos e senhas de redes Wi-Fi. De acordo com os analistas da Sekoia, os invasores utilizavam kits comerciais de vigilância digital para automatizar o processo e coletar o máximo de informações possíveis antes que os usuários percebessem qualquer anormalidade.
Os especialistas da Sekoia e da iVerify reforçam que a melhor forma de proteção contra esse tipo de investida continua sendo a manutenção restrita nos sistemas operacionais. Eles recomendam também sempre manter os aplicativos atualizados com os últimos patches de segurança disponibilizados pelos fabricantes.
Esquema técnico publicado pela Zimperium zLabs que mapeia o seletor de versões do navegador e do iOS, dividindo o direcionamento entre a cadeia de exploração Coruna, o kit DarkSword e outras versões do sistema operacional móvel. Foto: Reprodução/Zimperium
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
