Hacker russi su iPhone e Android con siti civetta e falle note

Un gruppo di hacker legato all'intelligence russa avrebbe usato siti civetta e pagine compromesse per spiare iPhone e smartphone Android sfruttando falle già corrette. Lo sostiene la società di sicurezza informatica Sekoia in un rapporto pubblicato all'inizio di novembre, che attribuisce la campagna al gruppo noto come APT29 con un grado di fiducia da moderato a elevato.

Come funzionava l'attacco

La tecnica è quella del cosiddetto watering hole: invece di colpire direttamente la vittima, gli attaccanti compromettono i siti che i bersagli visitano abitualmente o ne creano copie credibili. Secondo i ricercatori, tra le esche c'erano una falsa pagina dedicata ai 250 anni dell'indipendenza degli Stati Uniti e un sito che replicava quello del Raffles London, albergo di lusso vicino agli edifici del governo britannico. Il primo caso individuato riguardava il sito di una società ucraina di produzione di gas.

Gli analisti segnalano anche la compromissione di Plerdy, un servizio ucraino di analisi del traffico web caricato da migliaia di siti, in gran parte ucraini. Chi visitava le pagine infette con un dispositivo vulnerabile riceveva automaticamente il codice malevolo.

Dati a rischio e aggiornamenti

Sugli iPhone gli attaccanti avrebbero impiegato anche DarkSword, un kit che secondo Sekoia sarebbe stato sviluppato da un fornitore commerciale di strumenti di sorveglianza. I programmi spia potevano sottrarre messaggi, foto, password salvate, cookie, cronologia di navigazione e chiavi delle reti Wi-Fi.

L'elemento centrale del rapporto riguarda però la difesa. Tutte le catene di attacco sfruttavano vulnerabilità note e già corrette da Apple e Google, senza falle sconosciute ai produttori. Secondo Sekoia, chi usa un sistema operativo aggiornato è al sicuro da questi attacchi: installare con regolarità gli aggiornamenti di sistema e del browser resta quindi la prima protezione.

Fonti: Sekoia, ANSA, SecurityWeek