--- title: "Российские хакеры превратили десятки сайтов в «ловушки» для смартфонов: под угрозой пароли, фото и переписка" description: "Российские хакеры заражали смартфоны через скомпрометированные сайты в Украине, США и Европе. Под угрозой оказались пароли, переписка в мессенджерах и фото. Apple и Google уже выпустили патчи." date: 2026-11-05T10:19:07.204Z lang: ru url: https://xab.info/posts/rossiyskie-hakery-zarazhali-smartfony-cherez-saity-ukrainy-i-ssha tags: [cybersecurity, russian-hackers, ios-vulnerability, android-exploit, pleardy, apt28, smartphone-security] author: "Роман В." publisher: "XAB.info" --- # Российские хакеры превратили десятки сайтов в «ловушки» для смартфонов: под угрозой пароли, фото и переписка ![Два смартфона с открытым программным кодом и текстом о взломе на фоне офиса.](https://xab.info/media/2026/11/05/rossiyskie-hakery-zarazhali-smartfony-cherez-saity-ukrainy-i-ssha/rossiyskie-hakery-zarazhali-smartfony-cherez-saity-ukrainy-i-ssha-1.webp) ## Ключевые тезисы - Хакеры скомпрометировали украинский сервис Plerdy и подменили его SEO-трекер, через который вредоносный код загружали тысячи сайтов - Атака использовала уязвимости в iOS 16.7, iOS 18.5 и Chrome для Android версий 139–145 - На iOS крались cookie Safari, данные WhatsApp/Telegram, Keychain и фото; на Android — пароли Wi-Fi, история Chrome и логины - Apple и Google выпустили обновления, закрывающие все использованные уязвимости Российская хакерская группировка развернула масштабную кампанию по скрытому заражению смартфонов, используя скомпрометированные легитимные веб-ресурсы как «ловушки» для невинных посетителей. Об этом сообщает издание Bleeping Computer, на данные которого ссылается РБК-Украина. Под удар попали веб-сайты в Украине, США и странах Европы, а среди заражённых ресурсов оказались украинское газодобывающее предприятие, американская промышленная ассоциация и болгарский военный сайт. Кампания, по оценкам исследователей, велась на протяжении нескольких недель и нацеливалась на пользователей как iOS, так и Android. ### Вектор атаки: от SEO-трекера до поддельных доменов Одним из ключевых элементов инфраструктуры злоумышленников стал украинский сервис веб-аналитики Plerdy. Хакеры получили доступ к платформе и подменили её SEO-трекер — небольшой JavaScript-скрипт, который загружали тысячи сайтов преимущественно в Украине. Таким образом, вредоносный код распространялся через легитимный канал, что делало его практически незаметным для конечного пользователя. Параллельно злоумышленники развернули поддельные домены, имитирующие официальный американский портал America250 и сайт гостиницы в Лондоне, чтобы привлекать жертв через поисковые запросы и прямые ссылки. ### Как работает «невидимый» эксплойт При посещении любого из заражённых ресурсов браузер пользователя автоматически загружал исходный JavaScript-скрипт. Без какого-либо участия человека — без кликов, без запроса разрешений — скрипт сканировал устройство: определял тип операционной системы, версию браузера и другие параметры. На основании полученных данных командный сервер хакеров автоматически отправлял целевой пакет специфических эксплойтов, подобранных под конкретную конфигурацию устройства. Такой подход позволял заражать как iPhone, так и смартфоны на Android, используя разные наборы уязвимостей. ### Что именно крали злоумышленники На устройствах iOS хакеры эксплуатировали уязвимости в версиях iOS 16.7 и iOS 18.5. В результате атаки злоумышленники получали доступ к файлам cookie браузера Safari, базам данных мессенджеров WhatsApp и Telegram, учётным данным из памяти Keychain, геолокационным данным и фотографиям. На устройствах Android нацеливались на уязвимости в браузере Chrome для Android в версиях 139–145 (за исключением 143). С помощью специализированного инструмента AndroSnitch хакеры извлекали файлы cookie Chrome, сохранённые данные для входа, историю просмотров и пароли от сетей Wi-Fi. По данным исследователей, ни один из развёрнутых пейлоадов не оставлял постоянных следов в системе: обычная перезагрузка устройства временно останавливала вредоносную активность до следующего визита на заражённый сайт. ### Патчи выпущены — но риск сохраняется Apple и Google уже устранили все обнаруженные уязвимости и выпустили обновления безопасности, включая исправления для более старых версий iOS и Android. Тем не менее эксперты предупреждают: пока пользователь не установит последние обновления, его устройство остаётся уязвимым. Исследователи настоятельно рекомендуют как можно скорее проверить наличие обновлений в настройках смартфона или планшета и установить все доступные патчи. Дополнительной мерой предосторожности является осторожность при посещении сайтов, которые не вызывают доверия, а также использование инструментов мониторинга трафика, способных обнаруживать подозрительные исходящие соединения. ### Контекст: серия атак на инфраструктуру НАТО и Европы Описанная кампания не является изолированным инцидентом. На фоне продолжающейся информационной войны российские хакерские группировки, включая APT28, ведут серию атак на инфраструктуру стран НАТО и Европы. Так, по данным издания Dilo, в июле 2026 года была зафиксирована атака на внутреннюю сеть военно-морского судостроительного предприятия в одной из стран Альянса, где злоумышленники оставались незамеченными не менее двух месяцев. Совокупность этих инцидентов свидетельствует о системном характере киберопераций, направленных как на промышленную разведку, так на массовое заражение конечных устройств гражданских пользователей. ## Проверка фактов и источники - [Российские хакеры атаковали iPhone и Android через украинский сервис: под угрозой пароли и фото](https://www.rbc.ua/ukr/news/rosiyski-hakeri-atakuvali-iphone-ta-android-1793871914.html) - Первоисточник. Данные Bleeping Computer: вектор атаки через Plerdy, поддельные домены, уязвимости iOS/Android, кража данных, патчи от Apple и Google. - [Российские хакеры два месяца оставались незамеченными в сети оборонного предприятия НАТО](https://delo.ua/ru/news/rossiiskie-xakery-dva-mesyaca-ostavalis-nezamecennymi-v-seti-oboronnogo-predpriyatiya-nato-474749/) - Дополнительный контекст: атака APT28 на судостроительное предприятие НАТО, зафиксирована 24 июля 2026 г. Использована для общего контекста серии киберопераций. ## Частые вопросы ### Как именно хакеры заражали смартфоны? При посещении заражённого сайта браузер автоматически загружал JavaScript-скрипт, который сканировал устройство, определял ОС и версию браузера, после чего командный сервер отправлял целевой эксплойт. Никаких кликов или разрешений со стороны пользователя не требовалось. ### Какие данные могли быть украдены? На iOS: cookie Safari, базы данных WhatsApp и Telegram, учётные данные Keychain, геолокация, фотографии. На Android: cookie Chrome, сохранённые логины, история просмотров, пароли Wi-Fi. ### Что делать, чтобы защитить своё устройство? Установить последние обновления iOS или Android как можно скорее — Apple и Google уже закрыли все использованные уязвимости. Также рекомендуется избегать посещения подозрительных сайтов и при необходимости использовать инструменты мониторинга сетевого трафика. ### Оставляли ли вредоносные программы следы в системе? Нет. По данным исследователей, ни один пейлоад не создавал постоянных следов. Перезагрузка устройства временно останавливала вредоносную активность, но при следующем визите на заражённый сайт атака могла повториться.