Российская хакерская группировка развернула масштабную кампанию по скрытому заражению смартфонов, используя скомпрометированные легитимные веб-ресурсы как «ловушки» для невинных посетителей. Об этом сообщает издание Bleeping Computer, на данные которого ссылается РБК-Украина. Под удар попали веб-сайты в Украине, США и странах Европы, а среди заражённых ресурсов оказались украинское газодобывающее предприятие, американская промышленная ассоциация и болгарский военный сайт. Кампания, по оценкам исследователей, велась на протяжении нескольких недель и нацеливалась на пользователей как iOS, так и Android.
Вектор атаки: от SEO-трекера до поддельных доменов
Одним из ключевых элементов инфраструктуры злоумышленников стал украинский сервис веб-аналитики Plerdy. Хакеры получили доступ к платформе и подменили её SEO-трекер — небольшой JavaScript-скрипт, который загружали тысячи сайтов преимущественно в Украине. Таким образом, вредоносный код распространялся через легитимный канал, что делало его практически незаметным для конечного пользователя. Параллельно злоумышленники развернули поддельные домены, имитирующие официальный американский портал America250 и сайт гостиницы в Лондоне, чтобы привлекать жертв через поисковые запросы и прямые ссылки.
Как работает «невидимый» эксплойт
При посещении любого из заражённых ресурсов браузер пользователя автоматически загружал исходный JavaScript-скрипт. Без какого-либо участия человека — без кликов, без запроса разрешений — скрипт сканировал устройство: определял тип операционной системы, версию браузера и другие параметры. На основании полученных данных командный сервер хакеров автоматически отправлял целевой пакет специфических эксплойтов, подобранных под конкретную конфигурацию устройства. Такой подход позволял заражать как iPhone, так и смартфоны на Android, используя разные наборы уязвимостей.
Что именно крали злоумышленники
На устройствах iOS хакеры эксплуатировали уязвимости в версиях iOS 16.7 и iOS 18.5. В результате атаки злоумышленники получали доступ к файлам cookie браузера Safari, базам данных мессенджеров WhatsApp и Telegram, учётным данным из памяти Keychain, геолокационным данным и фотографиям. На устройствах Android нацеливались на уязвимости в браузере Chrome для Android в версиях 139–145 (за исключением 143). С помощью специализированного инструмента AndroSnitch хакеры извлекали файлы cookie Chrome, сохранённые данные для входа, историю просмотров и пароли от сетей Wi-Fi. По данным исследователей, ни один из развёрнутых пейлоадов не оставлял постоянных следов в системе: обычная перезагрузка устройства временно останавливала вредоносную активность до следующего визита на заражённый сайт.
Патчи выпущены — но риск сохраняется
Apple и Google уже устранили все обнаруженные уязвимости и выпустили обновления безопасности, включая исправления для более старых версий iOS и Android. Тем не менее эксперты предупреждают: пока пользователь не установит последние обновления, его устройство остаётся уязвимым. Исследователи настоятельно рекомендуют как можно скорее проверить наличие обновлений в настройках смартфона или планшета и установить все доступные патчи. Дополнительной мерой предосторожности является осторожность при посещении сайтов, которые не вызывают доверия, а также использование инструментов мониторинга трафика, способных обнаруживать подозрительные исходящие соединения.
Контекст: серия атак на инфраструктуру НАТО и Европы
Описанная кампания не является изолированным инцидентом. На фоне продолжающейся информационной войны российские хакерские группировки, включая APT28, ведут серию атак на инфраструктуру стран НАТО и Европы. Так, по данным издания Dilo, в июле 2026 года была зафиксирована атака на внутреннюю сеть военно-морского судостроительного предприятия в одной из стран Альянса, где злоумышленники оставались незамеченными не менее двух месяцев. Совокупность этих инцидентов свидетельствует о системном характере киберопераций, направленных как на промышленную разведку, так на массовое заражение конечных устройств гражданских пользователей.
