Un gruppo di cybercriminali russi ha lanciato una campagna di attacchi zero-click su dispositivi Android e iOS, riuscendo a rubare dati sensibili senza alcuna interazione da parte degli utenti. L’attacco, condotto dal gruppo APT29, noto anche come Midnight Blizzard o Cozy Bear, ha sfruttato vulnerabilità n-day di sistemi operativi e browser per accedere a informazioni come messaggi, email, contatti, cronologia chiamate, posizione geografica e foto. Gli attacchi sono stati effettuati attraverso diversi vettori, tra cui siti compromessi, cloni di siti legittimi e supply-chain, con l’obiettivo di infettare utenti di alto profilo in Ucraina, Bulgaria, Repubblica Ceca e Stati Uniti.
Attacchi zero-click e vulnerabilità sfruttate
La campagna ha utilizzato tre distinte catene di exploit, ciascuna sfruttando vulnerabilità specifiche. La prima sfrutta le vulnerabilità CVE-2025-43529 e CVE-2024-27834 di iOS per rubare i cookie da Safari. La seconda sfrutta le vulnerabilità CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520 per accedere a messaggi, SMS, email, contatti, credenziali, cronologia chiamate, cookie, posizione geografica e foto. La terza sfrutta le vulnerabilità CVE-2026-3910 e CVE-2025-27038 di Chrome su Android per rubare cookie, cronologia e password Wi-Fi. Tutti gli attacchi non stabiliscono la persistenza, quindi è sufficiente il riavvio del dispositivo per interrompere le attività degli exploit.
Metodi utilizzati: watering hole e Adversary-in-the-Middle
Il gruppo ha utilizzato due principali metodi per distribuire il malware: il watering hole e l’Adversary-in-the-Middle (AiTM). Nel primo caso, i cybercriminali hanno iniettato codice JavaScript in siti di alto profilo, visitati regolarmente da un determinato gruppo di utenti. Quando un utente visita il sito, lo script scarica un malware che raccoglie informazioni sul dispositivo, utili per eseguire l’exploit adatto al sistema operativo. Nel secondo caso, i cybercriminali hanno intercettato il traffico tramite un reverse proxy e lo hanno inoltrato al sito reale, permettendo di rubare dati senza che l’utente ne fosse a conoscenza.
La campagna ha coinvolto diversi tipi di siti, tra cui aziende, istituzioni militari e agenzie governative. Gli attacchi sono stati condotti attraverso tre vettori: siti compromessi, cloni di siti legittimi e supply-chain. In alcuni casi, è stata installata una versione compromessa del malware Plerdy SEO Tracker, che permette di raccogliere dati sensibili. Installare gli aggiornamenti di sicurezza è quindi fondamentale per proteggersi da tali attacchi. Gli esperti di Sekoia hanno sottolineato l’importanza di mantenere i sistemi operativi e i browser sempre aggiornati, in modo da ridurre al minimo i rischi di attacchi zero-click.
La campagna ha dimostrato come i cybercriminali possano sfruttare vulnerabilità n-day per attaccare dispositivi senza alcuna interazione da parte degli utenti. La risposta più efficace rimane l’aggiornamento regolare dei sistemi operativi e dei browser. Gli utenti sono quindi invitati a installare le ultime versioni di Android, iOS e Chrome, per garantire la massima sicurezza dei propri dispositivi.
