Дослідники з компанії Sekoia виявили масштабну кампанію, за якою, ймовірно, стоїть російське хакерське угруповання APT29 (також відоме як Nobelium або Midnight Blizzard). Вони скомпрометували український сервіс веб-аналітики Plerdy SEO Tracker, щоб впроваджувати шкідливий JavaScript-код на вебсайти, які відвідують жертви. Цей код призначений для збору інформації про браузер та пристрій користувача, а також для подальшої доставки експлойтів, націлених на мобільні операційні системи iOS та Android.
Атака використовує техніку "watering hole", коли зловмисники компрометують вебсайти, які часто відвідують цільові групи. У цьому випадку, компрометація сервісу Plerdy дозволила атакувальникам поширювати шкідливий код на численні сайти, що використовують цей сервіс. Впроваджений JavaScript збирає дані про пристрій та браузер, що може бути використано для ідентифікації потенційних жертв та вибору відповідних експлойтів. Це свідчить про складну та багатоетапну атаку, спрямовану на отримання доступу до мобільних пристроїв.
Ця кампанія становить значну загрозу для користувачів мобільних пристроїв на базі iOS та Android, які відвідують вебсайти, що використовують скомпрометований сервіс Plerdy SEO Tracker. Враховуючи, що Plerdy є популярним інструментом для оптимізації пошуку, коло потенційних жертв може бути досить широким. Особливу увагу слід приділити державним установам та організаціям, які можуть бути цілями для APT29.
Для мінімізації ризиків рекомендується:
- Оновити операційні системи та програмне забезпечення на мобільних пристроях до останніх версій, щоб усунути відомі вразливості.
- Бути обережними при відвідуванні вебсайтів, особливо тих, що здаються підозрілими або невідомими.
- Використовувати надійні антивірусні рішення та засоби безпеки на мобільних пристроях.
- Перевіряти дозволи, надані мобільним додаткам, та відкликати непотрібні.
- Для адміністраторів вебсайтів, що використовують Plerdy SEO Tracker: негайно перевірити наявність стороннього коду та відновити безпеку сервісу.