Російське хакерське угруповання розгорнуло масштабну кампанію з прихованого зараження смартфонів, використовуючи скомпрометовані легітимні вебресурси як «пастки» для нічого не підозрюючих відвідувачів. Про це повідомляє видання Bleeping Computer, на дані якого посилається РБК-Україна. Під удар потрапили вебсайти в Україні, США та країнах Європи, а серед заражених ресурсів опинилися українське газовидобувне підприємство, американська промислова асоціація та болгарський військовий сайт. Кампанія, за оцінками дослідників, тривала протягом кількох тижнів і була спрямована на користувачів як iOS, так і Android.
Вектор атаки: від SEO-трекера до підроблених доменів
Одним із ключових елементів інфраструктури зловмисників став український сервіс вебаналітики Plerdy. Хакери отримали доступ до платформи й підмінили її SEO-трекер — невеликий JavaScript-скрипт, який завантажували тисячі сайтів, переважно в Україні. Таким чином, шкідливий код поширювався через легітимний канал, що робило його практично непомітним для кінцевого користувача. Паралельно зловмисники розгорнули підроблені домени, що імітують офіційний американський портал America250 та сайт готелю в Лондоні, щоб залучати жертв через пошукові запити та прямі посилання.
Як працює «невидимий» експлойт
Під час відвідування будь-якого із заражених ресурсів браузер користувача автоматично завантажував вихідний JavaScript-скрипт. Без будь-якої участі людини — без кліків, без запиту дозволів — скрипт сканував пристрій: визначав тип операційної системи, версію браузера та інші параметри. На підставі отриманих даних командний сервер хакерів автоматично надсилав цільовий пакет специфічних експлойтів, підібраних під конкретну конфігурацію пристрою. Такий підхід дозволяв заражати як iPhone, так і смартфони на Android, використовуючи різні набори вразливостей.
Що саме крали зловмисники
На пристроях iOS хакери експлуатували вразливості у версіях iOS 16.7 та iOS 18.5. У результаті атаки зловмисники отримували доступ до файлів cookie браузера Safari, баз даних месенджерів WhatsApp і Telegram, облікових даних із пам'яті Keychain, геолокаційних даних і фотографій. На пристроях Android націлювалися на вразливості в браузері Chrome для Android у версіях 139–145 (за винятком 143). За допомогою спеціалізованого інструмента AndroSnitch хакери витягували файли cookie Chrome, збережені дані для входу, історію переглядів і паролі від мереж Wi-Fi. За даними дослідників, жоден із розгорнутих пейлоадів не залишав постійних слідів у системі: звичайне перезавантаження пристрою тимчасово зупиняло шкідливу активність до наступного візиту на заражений сайт.
Патчі випущено — але ризик залишається
Apple і Google вже усунули всі виявлені вразливості та випустили оновлення безпеки, включаючи виправлення для старіших версій iOS і Android. Проте експерти попереджають: поки користувач не встановить останні оновлення, його пристрій залишається вразливим. Дослідники наполегливо рекомендують якнайшвидше перевірити наявність оновлень у налаштуваннях смартфона чи планшета та встановити всі доступні патчі. Додатковим запобіжним заходом є обережність під час відвідування сайтів, які не викликають довіри, а також використання інструментів моніторингу трафіку, здатних виявляти підозрілі вихідні з'єднання.
Контекст: серія атак на інфраструктуру НАТО та Європи
Описана кампанія не є ізольованим інцидентом. На тлі триваючої інформаційної війни російські хакерські угруповання, зокрема APT28, ведуть серію атак на інфраструктуру країн НАТО та Європи. Так, за даними видання Dilo, у липні 2026 року було зафіксовано атаку на внутрішню мережу військово-морського суднобудівного підприємства в одній із країн Альянсу, де зловмисники залишалися непоміченими щонайменше два місяці. Сукупність цих інцидентів свідчить про системний характер кібероперацій, спрямованих як на промислову розвідку, так і на масове зараження кінцевих пристроїв цивільних користувачів.
