Sekoia: APT29, iPhone ve Android kullanıcılarını watering hole saldırılarıyla hedef aldı

Fransız güvenlik şirketi Sekoia, Rusya'nın dış istihbarat servisi SVR ile ilişkilendirilen APT29 (Cozy Bear / Midnight Blizzard) grubuna atfettiği yeni bir mobil kampanyayı raporladı. Kampanyada Ukrayna, ABD ve Avrupa'daki kullanıcılar watering hole yöntemiyle hedef alındı. Atıf Sekoia'ya aittir.

Dağıtım altyapısı

Rapora göre saldırganlar üç yol kullandı:

• Sahte bir America250 sitesi,
• Londra'daki Raffles otelini taklit eden sahte bir site,
• Binlerce web sitesinin kullandığı Ukrayna merkezli analitik servisi Plerdy'nin ele geçirilmesi (Ağustos sonu–Eylül başı arası).

Plerdy üzerinden yapılan saldırı, bu servisi kullanan sitelerin ziyaretçilerine kötü amaçlı kod sunulabilmesi anlamına geliyor; bu da klasik bir supply chain riski.

Hangi cihazlar etkilendi?

Sekoia'ya göre iOS 16 çalıştıran cihazlarda cookie hırsızlığı, iOS 18.5'te ise "ticari olarak geliştirildiği değerlendirilen" DarkSword adlı bir spyware araç seti kullanıldı. Android tarafında eski Chrome açıkları hedeflendi. Bazı aşamalar kullanıcı tıklaması gerektirmiyordu; ancak kullanılan açıkların tamamı daha önce patch'lenmiş açıklar, yani zero-day değil. Güncel cihazlarda zincir çalışmıyor.

Kaç cihazın gerçekten ele geçirildiği raporda belirtilmedi. Apple ve Google'dan konuya ilişkin bir açıklama aktarılmadı.

Ne yapılmalı?

• iOS ve Android cihazları ve Chrome'u en güncel sürümde tutun; eski iOS sürümlerinde kalan cihazları kurumsal ağdan ayırın.
• Yüksek riskli kullanıcılar (diplomat, gazeteci, yönetici) için Apple Lockdown Mode ve Android Advanced Protection açılmalı.
• MDM ile minimum işletim sistemi sürümü zorunlu kılınmalı.
• Web sitenize eklediğiniz üçüncü taraf analitik ve script servislerini (Plerdy benzeri) envantere alın; Subresource Integrity ve CSP ile sınırlayın.