Uma campanha de grande escala atribuída ao APT29, grupo de hackers ligado à Rússia e também conhecido como Midnight Blizzard, infectou sites legítimos e criou cópias falsas de portais conhecidos para atacar usuários de iPhone e Android. A técnica, chamada de watering hole, não exige que a vítima clique em nada: basta visitar a página. A atribuição é da empresa de segurança Sekoia, com confiança de moderada a alta.
Entre os sites comprometidos estão os de um produtor de gás ucraniano, de uma associação da indústria química dos Estados Unidos e de uma página búlgara ligada à área militar. Os atacantes também imitaram o site oficial do America250 e de um hotel de luxo em Londres, e chegaram a adulterar o rastreador de SEO do serviço ucraniano Plerdy, carregado por milhares de sites, entre 27 de agosto e 3 de setembro.
Em todos os casos, um código JavaScript identificava o aparelho e a versão do navegador do visitante, e o servidor dos criminosos enviava a sequência de exploits adequada. No iOS 18.5, o ataque coletava bancos de dados do WhatsApp e do Telegram, senhas do Keychain, localização e fotos. No Chrome para Android, das versões 139 a 145, exceto a 143, o alvo eram cookies, logins, histórico e senhas de Wi-Fi salvas.
As falhas usadas são do tipo n-day, ou seja, já conhecidas e corrigidas pela Apple e pelo Google, inclusive em versões mais antigas do iOS. Segundo a Sekoia, nenhum dos códigos maliciosos se instalava de forma permanente, e reiniciar o aparelho interrompia a atividade até uma nova visita a um site infectado.
A principal recomendação é manter o celular e o navegador sempre atualizados, já que a campanha depende de aparelhos que ainda não receberam as correções.
Fonte: CISO Advisor