Ruski hakeri koji stoje iza razornog napada ponovo u akciji: Ciljali vlade država, a sad "ulaze" u mobilne telefone

Istraživači su rekli da "hakerska grupa koju podržava ruska vlada", Cozy Bear, koristi iste eksploatacije i kod koji koriste kompanije za sajber špijunažu Intellexa i NSO Group.

U novembru 2023., Cozy Bear, označen kao APT29, napao je veb sajtove mongolske vlade koristeći exploit sa skoro identičnim kodom koji je prethodno koristila Intellexa, otkrila je Googleova grupa za analizu pretnji (Threat Analisis Group, TAG). Intellexa je prvi put koristila ovaj kod u septembru 2023. kao nulti dan.

Mesec dana kasnije, Cozy Bear je kompromitovao veb sajtove cabinet.gov[.]mn i mfa.gov[.]mn dodavanjem skrivenog iframea koji je isporučio eksploataciju i malver za krađu kolačića korisnicima iPhonea. Cosy Bear je ponovila napad na isti način u februaru 2024.

Ovo ukazuje da su autori koda isti ali istraživači TAG-a ne znaju kako je Cosy Bear došao do exploita. Ono što je jasno je da hakeri iza kojih stoje država koriste n-day exploite koje su proizvođači softvera za sajber špijunažu koristili kao 0-day exploite. Ruski hakeri su malo poboljšali kod tako da dobijaju informacije u slučaju da nešto krene naopako, a ruska verzija takođe ima dodatak za prikupljanje više podataka sa ciljnog uređaja. Ovo nije prvi put da hakeri koriste kod proizvođača softvera za špijunažu.

U julu 2024, Cozy Bear je ponovo kompromitovao veb sajt mongolske vlade. Ovog puta su isporučili još jedan exploit i malver za krađu informacija korisnicima Androida, inspirisan NSO grupom. Dve ranjivosti, koje je NSO Group koristila kao eksploataciju, otkrivene su i prijavljene u maju 2024.

Google TAG upozorava da iako su obe ranjivosti otklonjene, uređaji koji koriste ranjive verzije softvera i dalje mogu biti ugroženi.

„Pozivamo korisnike i organizacije da brzo primenjuju zakrpe i održavaju softver potpuno ažuriranim zbog svoje zaštite“, navodi se u izveštaju.

Pored APT 29, Cozy Bear je poznat i pod brojnim drugim imenima - Dukes, StellarParticle, UNC2452 i Dark Halo. Ova grupa se povezuje sa ruskom spoljnom obaveštajnom službom (SVR). Aktivna od 2008. godine, grupa Cozy Bear često napada mreže vlada u Evropi i zemalja članica NATO. Razorni napad SolarWinds je takođe pripisan ovoj grupi.

Izvor: Informacija/Kurir/Darko Mulic