Das französische Cybersicherheitsunternehmen Sekoia hat eine umfangreiche Cyberspionagekampagne aufgedeckt. Es trägt den Codenamen „Poisoned Source“ und wird der russischen Gruppe APT29 zugeschriebenauch bekannt als Cozy Bear oder Midnight Blizzard.

Diese Operation zielte auf Benutzer von Android- und iOS-Smartphones ab, indem sie bereits gepatchte Schwachstellen ausnutzte, um Daten zu exfiltrieren. Die Angreifer nutzten eine „Watering-Hole“-Technik, um Besucher auf Websites mit hohem Datenverkehr oder strategischem Interesse zu locken.

Eine vielschichtige Strategie zur Verbreitung von Schadcode

Die Angreifer injizierten JavaScript-Code direkt in legitime Websites, beispielsweise die eines großen ukrainischen Gasunternehmens oder einer europäischen politischen Partei.

Sie erstellten auch Spiegelseiten, die Plattformen mit hoher Sichtbarkeit imitierten. Beispielsweise gab sich die Domain america250(.)holiday als offizielle Website zum 250. Jahrestag der amerikanischen Unabhängigkeit aus. Eine weitere gefälschte Website, theowo(.)club, duplizierte das Portal eines Londoner Luxushotels in der Nähe sensibler Standorte der britischen Regierung.

Eine weitere Methode war ein Supply-Chain-Angriffwo Angreifer den ukrainischen Webanalysedienst Plerdy SEO Tracker kompromittiert haben. Auf diese Weise wurde ein bösartiges Skript auf Tausende von Kundenseiten verbreitet, hauptsächlich auf ukrainische.

Welche Tools und Schwachstellen standen im Mittelpunkt des Angriffs?

Sobald ein Benutzer eine blockierte Website besuchte, erstellte das JavaScript-Skript ein Profil seines Geräts, um festzustellen, ob es sich um ein iPhone oder ein Android-Gerät handelte, und um die Betriebssystemversion zu ermitteln.

Wenn das Gerät als anfällig eingestuft wurde, kam es zu einer Kette von Exploits wurde ohne jegliche Benutzerinteraktion bereitgestellt. Diese Sicherheitslücken sind zwar bereits behoben von Apple und Google blieb auch bei nicht aktualisierten Geräten wirksam.

Für iOS-Geräte nutzten die Angreifer insbesondere DarkSword. Abhängig von der iOS-Version könnte die Nutzlast Browser-Cookies stehlen oder, in schwerwiegenderen Fällen, weitere Daten vom Gerät exfiltrieren (SMS, iMessages, WLAN-Passwörter, Fotos usw.).

Bei Android wurde eine Payload namens AndroSnitch ausgenutzt, um Google Chrome-Daten und gespeicherte WLAN-Passwörter zu stehlen.

Der Schatten Russlands zeichnet sich ab

Die Zuschreibung dieser Kampagne an APT29, eine Einheit, die im Verdacht steht, zum russischen Auslandsgeheimdienst zu gehören, basiert auf mehreren Elementen.

Die Viktimologie entspricht den strategischen Interessen Russlands, wobei der Schwerpunkt auf der Ukraine, den Vereinigten Staaten und europäischen politischen Einheiten liegt. Darüber hinaus wurden technische Überschneidungen mit früheren Operationen im Zusammenhang mit APT29 festgestellt.