Ruskí hackeri našli spôsob, ako sa dostať do iPhonov a Androidov. Stačilo navštíviť obyčajnú webovú stránku

Ani dôveryhodná webová stránka nemusí byť po novom vždy bezpečná. Kybernetickí útočníci totiž dokážu napadnúť samotný web alebo jeho súčasti a následne využiť návštevníkov ako vstupnú bránu do ich zariadení. Ide o postup, ktorý odhalil bezpečnostný tím Sekoia TDR pri rozsiahlej kampani, ktorá zasiahla používateľov iPhonov aj Androidov.

Podľa zistení expertov útočníci zneužili legitímne webové stránky v Spojených štátoch, na Ukrajine, v Česku, Bulharsku a ďalších krajinách. Vytvorili aj falošné domény, ktoré napodobnili známe weby. Ešte závažnejší útok nastal medzi 27. augustom a 3. septembrom 2026. Počas jedného týždňa totiž útočníci napadli ukrajinskú analytickú službu Plerdy, ktorej nástroj využívajú tisíce webových stránok.

Sekoia na základe technických podobností, spôsobu útokov, infraštruktúry a výberu obetí pripísala kampaň s miernou až vysokou mierou istoty skupine APT29. Tú bezpečnostní výskumníci spájajú s ruskou zahraničnou spravodajskou službou SVR. Skupina vystupuje aj pod názvami Cozy Bear, Midnight Blizzard alebo The Dukes.

Útočníci si pripravili pascu priamo na dôveryhodných weboch

Experti odhalili tri hlavné spôsoby, ktorými útočníci dostali škodlivý kód k návštevníkom. Prvý spočíval v priamom napadnutí legitímnych webových stránok. Hackeri do ich zdrojového kódu vložili škodlivý JavaScript, teda programovací jazyk, ktorý webom dodáva interaktívne funkcie a spúšťa rôzne úlohy v prehliadači. Návštevník tak nemusel stiahnuť žiadnu podozrivú aplikáciu ani kliknúť na nebezpečnú prílohu. Po načítaní stránky sa automaticky spustil vložený skript, ktorý následne privolal ďalší kód zo servera pod kontrolou útočníkov.

Druhý spôsob využil falošné domény a techniku známu ako Adversary-in-the-Middle. V tomto prípade útočníci vytvorili web, ktorý sa vydával za skutočnú stránku, no fungoval ako sprostredkovateľ medzi návštevníkom a originálnym webom. Takýto server prijal požiadavku používateľa, načítal obsah legitímnej stránky a následne doň vložil škodlivý JavaScript. Návštevník tak mohol dostať upravenú verziu stránky bez toho, aby si všimol zásah.

Súvisí s tým

Hackeri našli spôsob, ako ťa cez Google odkaz dostať až k podvodnej stránke. Takto prebieha nový útok

OdporúčameČo je eFaktúra a prečo PDF v e-maile prestane stačiť? Od januára 2027 sa mení fakturácia medzi firmami

Medzi napodobnenými webmi sa nachádzala stránka America250.org, ktorá zastrešuje oslavy 250. výročia americkej nezávislosti, aj web luxusného londýnskeho hotela Raffles London at The OWO. Bezpečnostní experti upozornili, že takéto miesta mohli útočníkom poslúžiť na zacielenie diplomatov, významných hostí alebo ľudí spojených s konkrétnymi udalosťami.

Tretí spôsob útoku zasiahol dodávateľský reťazec. Hackeri totiž prenikli do analytickej služby Plerdy, ktorú tisíce webov využívajú na sledovanie návštevnosti a správania používateľov. Takéto nástroje majitelia stránok zvyčajne pridávajú prostredníctvom externého JavaScriptu. Ak útočníci upravia jeho zdroj, škodlivý kód sa následne dostane aj na stránky, ktorých vlastníci o útoku nemusia vôbec vedieť.

Počas týždňa tak kampaň zasiahla návštevníkov veľkého množstva prevažne ukrajinských webov. Medzi nimi sa nachádzali aj stránky spojené s armádou, špeciálnymi jednotkami a vojenskou technikou vrátane balistických systémov či bezpilotných lietadiel.

Škodlivý skript najskôr preskúmal telefón

Po načítaní škodlivého JavaScriptu prišla na rad analýza zariadenia. Útočníci použili vlastný nástroj s názvom UltimateFingerprinter. Ten získal informácie o operačnom systéme, prehliadači a hardvérovej konfigurácii telefónu. Na základe týchto údajov následne vybral vhodný spôsob útoku.

Takzvaný digitálny odtlačok zariadenia si môžeš predstaviť ako súbor technických údajov, ktoré spolu vytvoria pomerne podrobný obraz o konkrétnom telefóne. Skript napríklad zisťoval rozlíšenie obrazovky, podporované funkcie, dostupné senzory, vlastnosti grafiky, zvukové možnosti či informácie o sieťovom pripojení. Sekoia identifikovala až 61 rôznych zberných modulov, ktoré dokázali vytvoriť 394 údajových polí vo formáte JSON. JSON je spôsob, akým aplikácie a webové služby ukladajú a odovzdávajú štruktúrované údaje. V tomto prípade poslúžil na odoslanie technických informácií o telefóne na server útočníkov.

Zaujímavé je, že rozsiahly zber údajov podľa expertov nemal zásadný vplyv na výber samotného exploitu. Útočníci využili najmä základné kontroly, ktoré odhalili, či ide skutočne o telefón s dotykovou obrazovkou. Ak údaje pôsobili nevierohodne, server neposlal ďalší škodlivý kód.

Hackeri zneužili staršie chyby v iPhonoch aj Androide

Samotný útok následne využil takzvané n-day zraniteľnosti. Ide o bezpečnostné chyby, ktoré už výrobcovia poznajú a vydali pre ne opravy. Názov odkazuje na skutočnosť, že od zverejnenia chyby alebo jej opravy uplynul určitý čas. Na rozdiel od zero-day zraniteľností teda nejde o dovtedy neznáme chyby bez dostupnej opravy. Útočníci sa zamerali na zariadenia, ktorých majitelia ešte nenainštalovali príslušné bezpečnostné aktualizácie. Podľa analýzy Sekoia nefungovali tieto reťazce na plne aktualizovaných zariadeniach.

Pri iPhonoch experti identifikovali dva odlišné typy útokov. Prvý cielil na staršie verzie systému iOS, najmä verziu 16.7, a jeho hlavnou úlohou bola krádež súborov cookies. Tie často obsahujú identifikátor prihlásenej relácie, vďaka ktorému si web zapamätá, že používateľ už zadal prihlasovacie údaje.

Ak útočník získa platnú prihlasovaciu cookie, v určitých prípadoch dokáže prevziať existujúcu reláciu a dostať sa k účtu bez opätovného zadania hesla. Sekoia upozornila, že útočníci sa nesústredili iba na Safari, ale mohli získať cookies aj z ďalších aplikácií, ktoré ich ukladajú v systéme iOS.

Druhý reťazec siahol oveľa hlbšie do systému. Využil nástroje spájané s exploitovacou súpravou DarkSword a po prekonaní viacerých bezpečnostných bariér získal prístup k rozsiahlym údajom v telefóne. Hackeri mohli získať SMS správy, iMessage, e-maily, hlasové správy, kontakty, históriu hovorov, údaje z WhatsAppu a Telegramu, uložené heslá, prihlasovacie tokeny aj heslá k Wi-Fi sieťam. Zber sa navyše týkal fotografií, súborov v iCloud Drive, histórie prehliadania, kalendára, poznámok a údajov o polohe.

Hackeri zaútočili aj na prehliadač Chrome

Pri Androide sa útok zameral na prehliadač Chrome vo verziách 139 až 145, s výnimkou verzie 143. Exploit využil chybu v samotnom prehliadači a následne ďalšiu zraniteľnosť v grafickom ovládači Adreno. Tým útočníci prekonali bezpečnostnú izoláciu prehliadača a získali prístup k citlivým súborom. Výsledný nástroj s názvom AndroSnitch kradol cookies, uložené prihlasovacie údaje, históriu prehliadania a heslá k Wi-Fi sieťam.

Výskumníci zároveň upozornili na širší problém. Štátom podporované hackerské skupiny čoraz častejšie využívajú hotové exploitačné nástroje, ktoré pôvodne vznikli v prostredí komerčného sledovacieho priemyslu.

„Šírenie a opakované využívanie exploitov od komerčných dodávateľov sledovacích technológií medzi štátom podporovanými skupinami bude podľa nášho odhadu čoraz častejšie,“ uzavreli experti zo Sekoia.

Sekoia spolupracuje s národnými tímami CERT v dotknutých krajinách, aby pomohla identifikovať obete a obmedziť škodlivú infraštruktúru. Pre bežných používateľov z toho vyplýva predovšetkým jedna praktická vec: pravidelné aktualizácie systému a prehliadača majú význam aj vtedy, keď telefón navonok funguje bez problémov.