セキュリティ研究者が明らかにしたスパイ活動で、ロシアとつながりのあるハッカーが正規のウェブサイトを通じて、脆弱なiPhoneとAndroidデバイスを標的にした。
サイバーセキュリティ企業Sekoiaは11月4日の報告書で、この作戦をロシアの対外情報機関と関係するハッカー集団APT29によるものと、中～高い確度で結論づけた。
調査ではさらに、正規のウェブサイトを通じて悪意あるコードを拡散する侵害済みの分析サービスも発見され、訪問者のモバイルデータや認証済みのオンラインセッションが危険にさらされていた。
乗っ取られた分析サービスが作戦の到達範囲を拡大
研究者はまず、ウクライナのガス生産会社のウェブサイトで悪意あるJavaScriptを発見した。 Sekoiaの調査では、米国の化学業界団体と欧州の政党に属する感染ページも特定された。ブルガリアの軍事関連サイトでは、ハッカーが既存のJavaScriptライブラリを改ざんしていた。これは、ウォータリングホール攻撃の手法が使われる 高度持続的脅威（APT）キャンペーンの別の例だ。
攻撃者は、America250やホテルThe OWOのRaffles Londonになりすます類似ドメインも登録していた。訪問者には正規サイトから取得したコンテンツが表示されたが、偽のアドレスはページに悪意あるスクリプトをひそかに挿入していた。
別の ソフトウェアサプライチェーン侵害によって、ウクライナのウェブ分析プロバイダーPlerdyを通じて作戦の範囲が拡大した。8月27日から9月3日にかけて、ハッカーは同社のJavaScriptトラッカーを改変した。このトラッカーは、軍事組織や防衛装備に関連するサイトを含む、主にウクライナの数千のウェブサイトで読み込まれていた。ウェブサイト自体が直接侵害されていなくても、訪問者は挿入されたスクリプトに遭遇する可能性があった。
モバイル向けエクスプロイトが保存パスワードと個人情報を標的に
挿入されたスクリプトは読み込まれると、攻撃者が管理するインフラに接続する前に、訪問者のOSとブラウザーに関する情報を収集した。その後、脆弱なデバイスには、追加のクリックやソフトウェアのダウンロードなしに、適合するエクスプロイトが自動的に送り込まれる可能性があった。
調査担当者は、配信サーバーに対して異なるブラウザープロファイルをテストし、データ窃取能力の異なる3つの完全なエクスプロイトチェーンを復元した。
確認された標的 | 脆弱性 | 標的となった情報 |
|---|---|---|
| iOS 16.7 | CVE-2025-43529、CVE-2024-27834 | 保存された認証Cookie |
| iOS 18.5 | 5つの脆弱性を利用するDarkSwordチェーン | メッセージ、Keychainの認証情報、写真、その他のデバイスデータ |
| Android版Chrome 139～145（143を除く） | CVE-2026-3910、CVE-2025-27038 | ブラウザーCookie、保存されたログイン情報、閲覧履歴、Wi-Fiパスワード |
iPhone向けエクスプロイトチェーンの1つには DarkSwordというツールキットが組み込まれていた。これは Googleが3月に記録したもので、研究者が複数の脅威アクターによる使用を確認した後のことだった。 以前の調査では、侵害されたモンゴル政府のウェブサイトを通じたモバイルCookie窃取に、APT29と疑われる活動が関与していることも明らかになっていた。
復元されたすべてのチェーンは、作戦開始前に修正パッチが適用されていた脆弱性に依存していたため、完全にアップデートされたデバイスは今回の特定の攻撃から保護されていた。いずれも永続化には成功していなかったが、スマートフォンを再起動しても、すでに窃取されたデータが元に戻ることはない。調査担当者は、何台のデバイスが実際に侵害されたかを特定できなかった。
窃取されたモバイルセッションが企業アカウントのセキュリティに懸念
従業員はスマートフォンで企業メールやクラウドアプリケーションにアクセスするため、認証データが盗まれると、企業に被害が及ぶ可能性がある。サービスの保護機能によっては、セッションハイジャックによって、攻撃者は組織のネットワークに侵入することなく、これらのアカウントにアクセスできる可能性がある。
セキュリティチームは、3つの優先事項を通じてこのリスクに対処できる。
- 脆弱なデバイスからのアクセスを制限する。 モバイルデバイス管理をIDベースのアクセス・ポリシーと組み合わせ、スマートフォンが機密性の高い業務アプリケーションにアクセスする前に、OSとブラウザーの最低バージョン要件を適用する。
- 影響を受けた可能性のあるアカウントを調査する。Sekoiaが公開した悪意あるインフラとの通信がないか、利用可能なDNS、プロキシ、モバイルセキュリティのログを確認し、影響を受けた可能性のあるアカウントについて不審なセッションがないか調べる。デバイスのスキャンで問題が見つからなくても、過去のデータ窃取を否定することはできない。
- 侵害されたアクセスを無効にする。侵害の証拠がある場合は、影響を受けたセッションを失効させ、信頼できるデバイスから漏えいした認証情報をリセットする。セキュリティアップデートをインストールしても、攻撃者にすでに取得された認証データを無効にはできない。
従業員のアカウントに付与された権限を基に、セキュリティチームは侵害の疑いをどの程度急いでエスカレーションするか判断すべきだ。重要システムへの管理者アクセスがあれば、単一デバイスのインシデントが全社的なセキュリティ問題に発展する可能性がある。
モバイルセキュリティの詳細：Googleの11月のセキュリティ速報には、Androidの中核ソフトウェアとハードウェアコンポーネントに影響する、約24件の重大な脆弱性が含まれている。