Российские хакеры используют эксплойты, разработанные NSO и Intellexa

Эксплойты «идентичны или поразительно схожи» с теми, которые были ранее разработаны компаниями NSO Group и Intellexa, специализирующимися на шпионских программах. В своём блоге Google отметил, что неясно, каким образом российское правительство получило доступ к этим эксплойтам, но подчеркнул, что это показывает, как шпионское ПО может попасть в руки «опасных злоумышленников».

В данном случае злоумышленниками являются хакеры из группы APT29, широко ассоциируемые со Службой внешней разведки России (СВР). Эта высокоорганизованная группа известна своими длительными и целенаправленными кампаниями по кибершпионажу и краже данных, направленными на технологические компании и правительственные структуры по всему миру.

Google обнаружил вредоносный код на правительственных веб-сайтах Монголии, который был активен с ноября 2023 года по июль 2024 года. Любой, кто посещал эти сайты с устройств на iPhone или Android, мог стать жертвой атаки, в результате которой были похищены данные, включая пароли.

Эксплойты, использованные в этих атаках, нацелены на уязвимости в браузерах Safari на iPhone и Google Chrome на Android, которые уже были исправлены. Однако уязвимые устройства, на которых не были установлены обновления, оставались под угрозой.

Эксплойты, направленные на устройства Apple, были разработаны для кражи файлов cookie из Safari, что позволяло злоумышленникам получить доступ к учетным записям правительственных и личных пользователей. Атаки на Android использовали два эксплойта для кражи аналогичных данных из Chrome.

Google связывает использование этих эксплойтов с Россией, так как ранее аналогичный код применялся группой APT29 в кампании 2021 года. Однако остается вопрос, как именно российские хакеры получили доступ к этим эксплойтам. Google предполагает, что эксплойты могли быть куплены после их обнаружения или украдены у других клиентов.

Вид на штаб-квартиру Службы внешней разведки России (СВР) за пределами Москвы, сделанный 29 июня 2010 года.

NSO Group, чьи технологии были использованы в этих атаках, заявила, что не продает свои продукты России и сотрудничает исключительно с проверенными спецслужбами США и Израиля.

Google настоятельно рекомендует пользователям своевременно обновлять программное обеспечение, чтобы защититься от подобных атак. Пользователи устройств Apple с включенным режимом высокой безопасности не пострадали от этих уязвимостей.