APT29: Χάκερς Στόχευσαν iPhone και Android Μέσω Μολυσμένων Ιστοσελίδων

Τι Είναι η APT29;

Η APT29, γνωστή επίσης ως Midnight Blizzard και Cozy Bear, είναι ομάδα κυβερνοαπειλών που συνδέεται ευρέως με δραστηριότητες ρωσικής κυβερνοκατασκοπείας.

Έχει συνδεθεί στο παρελθόν με επιθέσεις εναντίον κυβερνητικών οργανισμών, εταιρειών και άλλων σημαντικών στόχων.

Στη νέα επιχείρηση Poisoned Source, οι ερευνητές ανακάλυψαν παραβιασμένες ιστοσελίδες και πλαστά websites που χρησιμοποιούνταν για τη διανομή κακόβουλου κώδικα.

Η Sekoia εκτιμά ότι η επίθεση συνδέεται με την APT29, με μέτριο έως υψηλό βαθμό βεβαιότητας.

Πώς Μπορούσε μια Ιστοσελίδα να Γίνει Επικίνδυνη;

Οι επιτιθέμενοι χρησιμοποίησαν τρεις βασικούς τρόπους για να προσεγγίσουν τους επισκέπτες:

• Παραβιασμένες ιστοσελίδες: προσθήκη κακόβουλου κώδικα σε κανονικά websites.
• Πλαστές ιστοσελίδες: δημιουργία διευθύνσεων που έμοιαζαν με γνωστούς ιστοτόπους.
• Μολυσμένο analytics script: τροποποίηση εξωτερικού JavaScript που φορτωνόταν από άλλες ιστοσελίδες.

Όταν κάποιος επισκεπτόταν μια επηρεασμένη σελίδα, ο κακόβουλος κώδικας μπορούσε να ελέγξει την έκδοση του browser και το λειτουργικό σύστημα της συσκευής.

Αν εντόπιζε συγκεκριμένες γνωστές ευπάθειες, επιχειρούσε να τις εκμεταλλευτεί.

Χρειαζόταν να κατεβάσει κάποιος αρχείο;

Όχι απαραίτητα. Σε ευάλωτες συσκευές, η επίθεση μπορούσε να ξεκινήσει κατά τη φόρτωση της ιστοσελίδας, χωρίς επιπλέον κλικ ή εγκατάσταση αρχείου.

Ποια Δεδομένα Μπορούσαν να Κλέψουν οι Χάκερς;

Σύμφωνα με την έρευνα, οι επιτιθέμενοι είχαν δημιουργήσει διαφορετικές μεθόδους για iPhone και Android.

Στα iPhone

Ορισμένες από τις επιθέσεις στόχευαν πληροφορίες όπως:

• Μηνύματα και emails.
• Φωτογραφίες και αρχεία.
• Επαφές και ιστορικό κλήσεων.
• Δεδομένα σύνδεσης και browser cookies.
• Αποθηκευμένους κωδικούς Wi-Fi.

Στα Android

Η επίθεση στόχευε κυρίως δεδομένα του Google Chrome, όπως το ιστορικό περιήγησης, τα cookies και αποθηκευμένες πληροφορίες σύνδεσης, καθώς και στοιχεία δικτύων Wi-Fi.

Γιατί είναι σημαντικά τα browser cookies;

Ορισμένα cookies βοηθούν τις ιστοσελίδες να θυμούνται ότι ο χρήστης έχει ήδη συνδεθεί στον λογαριασμό του.

Εάν ένας επιτιθέμενος αποκτήσει έγκυρα στοιχεία σύνδεσης συνεδρίας, μπορεί σε ορισμένες περιπτώσεις να επιχειρήσει πρόσβαση στον λογαριασμό χωρίς να γνωρίζει τον κανονικό κωδικό.

Πώς Συνδέεται η Επίθεση με τα Web Analytics;

Πολλές επιχειρηματικές ιστοσελίδες χρησιμοποιούν εργαλεία analytics για να κατανοούν τη συμπεριφορά των επισκεπτών τους.

Αυτά τα εργαλεία συχνά λειτουργούν μέσω ενός μικρού JavaScript αρχείου που φορτώνεται αυτόματα.

Στην επιχείρηση Poisoned Source, οι ερευνητές εντόπισαν κακόβουλη τροποποίηση ενός αρχείου της υπηρεσίας Plerdy SEO Tracker.

Η τροποποίηση αυτή επέτρεπε την έκθεση επισκεπτών άλλων ιστοσελίδων στον κακόβουλο κώδικα.

Το περιστατικό καταγράφηκε για το διάστημα 27 Αυγούστου έως 3 Σεπτεμβρίου 2026.

Γιατί πρέπει να μας ενδιαφέρει;

Μια ιστοσελίδα μπορεί να είναι σωστά ενημερωμένη, αλλά να φορτώνει περιεχόμενο από εξωτερικές υπηρεσίες.

Εάν κάποια τέτοια υπηρεσία παραβιαστεί, μπορεί να δημιουργηθεί κίνδυνος και για τους επισκέπτες του website.

Αυτό δεν σημαίνει ότι όλα τα analytics είναι επικίνδυνα. Σημαίνει ότι πρέπει να γνωρίζουμε ποια εξωτερικά εργαλεία χρησιμοποιούμε και να ελέγχουμε αν εξακολουθούν να είναι απαραίτητα.

Πώς Μπορούμε να Προστατεύσουμε το Κινητό μας;

Τα καλά νέα είναι ότι οι συγκεκριμένες επιθέσεις χρησιμοποιούσαν γνωστές ευπάθειες για τις οποίες είχαν ήδη κυκλοφορήσει διορθώσεις.

Για αυτό, η σημαντικότερη ενέργεια είναι να διατηρούμε ενημερωμένο το κινητό και τον browser μας.

Τι πρέπει να κάνουμε;

1. Ενημερώνουμε το iOS ή το Android στην πιο πρόσφατη υποστηριζόμενη έκδοση ασφαλείας.
2. Ενημερώνουμε τον browser, ιδιαίτερα τον Google Chrome σε Android.
3. Προσέχουμε τις ύποπτες διευθύνσεις που μιμούνται γνωστές ιστοσελίδες.
4. Χρησιμοποιούμε ισχυρούς κωδικούς και 2FA για τους σημαντικούς λογαριασμούς μας.
5. Ελέγχουμε για ύποπτες συνδέσεις στους λογαριασμούς μας και αποσυνδέουμε άγνωστες συσκευές.

Για άτομα που ενδέχεται να αποτελούν στόχο εξειδικευμένων επιθέσεων, το iPhone διαθέτει επίσης τη λειτουργία Lockdown Mode, η οποία προσφέρει πρόσθετους περιορισμούς ασφαλείας.

Τι Πρέπει να Κάνουν οι Ιδιοκτήτες Ιστοσελίδων;

Η υπόθεση Poisoned Source δείχνει ότι η ασφάλεια ενός website δεν εξαρτάται μόνο από το hosting ή το CMS που χρησιμοποιεί.

Εξαρτάται επίσης από τα πρόσθετα και τις εξωτερικές υπηρεσίες που φορτώνονται στις σελίδες του.

Οι σημαντικότεροι έλεγχοι

• Ενημερώσεις: διατηρούμε ενημερωμένα WordPress, plugins και themes.
• Εξωτερικά scripts: ελέγχουμε ποια analytics, chat widgets και άλλα εργαλεία φορτώνονται.
• Περιττός κώδικας: αφαιρούμε παλιά scripts και υπηρεσίες που δεν χρησιμοποιούμε.
• Monitoring: παρακολουθούμε ύποπτες αλλαγές και τη λειτουργία της ιστοσελίδας.
• Backups: διατηρούμε αξιόπιστα αντίγραφα ασφαλείας και δοκιμάζουμε τη δυνατότητα επαναφοράς τους.

Για πιο σύνθετες ιστοσελίδες, κατάλληλες ρυθμίσεις ασφαλείας στον browser, όπως το Content Security Policy (CSP), μπορούν επίσης να μειώσουν ορισμένους κινδύνους από μη εξουσιοδοτημένα scripts.

Το CSP δεν προστατεύει από κάθε περίπτωση παραβίασης εξωτερικής υπηρεσίας, γι’ αυτό αποτελεί συμπληρωματικό μέτρο.