Már javított mobilos hibákat használt ki az APT29-hez kötött kampány
Feltört weboldalakon keresztül próbáltak üzeneteket, jelszavakat és böngészési adatokat megszerezni iPhone-okról és androidos telefonokról. A Sekoia szerint a támadásokhoz használt hibákat már javították, és a naprakész operációs rendszert futtató készülékek védettek ezekkel a támadásokkal szemben.
Frissítés (2026. november 6.): újabb cikkünk az ügyről
A CISA szerint már kihasználják az Apple 2024-ben javított hibáját
Fontos
Aktívan kihasznált, kritikus: CVSS 8.8
A telefon és a böngésző verziója alapján választottak támadást
A Sekoia kutatói 2026 októberének közepén észlelték a kampányt, amelyet közepes vagy magas bizonyossággal kötnek az orosz APT29 csoporthoz. A támadók legitim weboldalakba juttattak kódot, megtévesztésig hasonló webcímeket használtak, és egy ukrán webanalitikai szolgáltatást is kompromittáltak.
Mindhárom úton ugyanaz a kód jutott el a látogatóhoz. Ez felmérte a böngészőt és a készüléket, majd a verziók alapján választotta ki az iOS-re vagy Androidra szánt támadási láncot. A hibák kihasználásához nem kellett további felhasználói művelet.
A StatCounter mérése szerint 2026 októberében a magyar mobilos látogatások 73,4%-a Androidról, 26,6%-a iOS-ről érkezett.
Üzeneteket és jelszavakat is megszerezhettek
Az iOS 16.7 rendszert futtató iPhone-okon a támadók két hiba együttes kihasználásával böngészős sütiket próbáltak megszerezni. Ezekkel bejelentkezett munkameneteket használhattak fel újra, és például webes levelezéshez férhettek hozzá.
Az iOS 18.5 ellen a DarkSword nevű eszközkészletre épülő láncot vetették be. Ez egyebek mellett SMS-ekhez, iMessage-, WhatsApp- és Telegram-adatokhoz, jelszavakhoz, helyadatokhoz, egészségügyi információkhoz és fényképekhez is hozzáférhetett.
Androidon a Chrome 139-145 verzióit célozták, a 143-as kivételével. Itt egy böngészőhiba és az Adreno grafikus illesztőprogram egyik sérülékenysége együtt tette lehetővé a támadást. A lánc Chrome-sütiket, mentett bejelentkezési adatokat, böngészési előzményeket és Wi-Fi-jelszavakat gyűjtött. A Sekoia szerint az adatküldés után egyik támadás sem telepített tartósan a készüléken maradó programot.
Egy analitikai szolgáltatáson át is terjedt a kód
A vizsgálat egy ukrán gáztermelő vállalat oldalán talált kártékony kóddal indult. A kutatók később egy amerikai vegyipari szakmai szervezet, egy európai politikai párt és egy bolgár katonai vonatkozású szervezet érintett weboldalára is rábukkantak.
A támadók a Plerdy ukrán analitikai szolgáltatást is kompromittálták. A követőkódján keresztül 2026. augusztus 27. és szeptember 3. között juttatták el a saját kódjukat. A szolgáltatás követője több ezer weboldalon fut, amelyek többsége ukrán.
A Sekoia szerint nem világos, hogy meghatározott oldalak látogatóit keresték-e, vagy minél több, nem frissített mobileszközről akartak adatokat gyűjteni.
A korábbi mongóliai támadáshoz is találtak hasonlóságot
Az APT29-hez kötést több nyom is alátámasztja a kutatók szerint: az egyik érintett oldalon egy 2025-ös, a csoporthoz kapcsolt művelet nyomait találták, és hasonlóságokat láttak egy mongóliai kampánnyal is. Az áldozatok listája emellett Ukrajnára összpontosult.
A Google kutatócsoportja egy korábbi beszámolóban mongol kormányzati weboldalak ellen irányuló támadásokat ismertetett. Azokat közepes bizonyossággal kapcsolta az APT29-hez; az ott használt iOS- és androidos Chrome-hibákhoz szintén rendelkezésre álltak javítások.
A Sekoia az érintett országok számítógépes biztonsági szervezeteivel, köztük a CERT-UA-val dolgozik az áldozatok azonosításán és a támadási infrastruktúra megzavarásának lehetőségein.
Az ügy eddig
- Az iPhone XS és XR is javítást kapott a célzott támadásokban kihasznált Apple-hibára
- Már javított mobilos hibákat használt ki az APT29-hez kötött kampány (ez a cikk)
- A CISA szerint már kihasználják az Apple 2024-ben javított hibáját
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum