Russisk gruppe utnytter Android og iOS-sårbarheter for å stjèle data

En russisk gruppe har gjennomført en storstilt angrepskampanje som utnytter flere sårbarheter i Android og iOS for å stjèle informasjonskapsler, passord og personlige data. Angrepene krever ikke noen interaksjon fra brukerne. Forskere fra Sekoia har identifisert angrepene som utført av gruppen APT29, som også er kjent som Midnight Blizzard eller Cozy Bear.

Angrepene ble gjennomført ved hjelp av en metode der skadelig kode ble plassert på nettsteder som ofrene vanligvis besøker. Målene var nettsteder tilhørende selskaper, militæret og regjeringsorganisasjoner i Ukraina, Bulgaria, Tsjekkia og USA. De russiske cyberkriminalitetsaktørene brukte tre ulike infeksjonsveier: kompromitterte nettsteder, falske nettsteder og leverandørkjeder. I tilfeller med kompromitterte nettsteder ble JavaScript-kode injisert i startsiden. Når en brukere besøkte nettstedet, lastet skriptet ned skadeware som samlet inn informasjon om enheten for å velge riktig utnyttelsesprogram.

I andre tilfeller ble det utført et angrep der angriperen fungerer som mellommann. Da ble trafikken fanget opp via en omvendt proxy og videresendt til det faktiske nettstedet. I det tredje tilfellet ble en kompromittert versjon av programvaren Plerdy SEO Tracker installert på nettstedet. Tre ulike utnyttelsesprogramkjeder ble brukt under angrepene. Den første utnyttet sårbarhetene CVE-2025-43529 og CVE-2024-27834 i iOS for å stjèle informasjonskapsler fra nettleseren Safari.

Den andre kjeden utnyttet sårbarhetene CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 og CVE-2025-43520 i iOS for å hente meldinger, tekstmeldinger, e-post, kontakter, påloggingsinformasjon, samtidslogg, informasjonskapsler, geografisk posisjon og bilder. Den tredje kjeden utnyttet sårbarhetene CVE-2026-3910 og CVE-2025-27038 i nettleseren Chrome på Android for å stjèle informasjonskapsler, historikk og Wi-Fi-passord. Ingen av angrepene etablerte varig tilstedeværelse på enhetene. Det er derfor tilstrekkelig å starte om enheten for å stoppe aktiviteten til utnyttelsesprogrammene. Brukere bør installere de nyeste versjonene av operativsystemene og nettleserne, siden det er tilgjengelige sikkerhetsoppdateringer.