Български сайт, свързан с военната сфера, е бил компрометиран в кампания за кибершпионаж срещу смартфони с Android и iOS, съобщава френската компания за киберсигурност „Секоя“. Според разследването нападателите са променили съществуваща JavaScript библиотека, за да могат да пренасочват посетителите към контролирана от тях инфраструктура. Името и адресът на сайта не са разкрити, а за конкретни негови посетители не се съобщава да са били успешно атакувани.

Операцията е разкрита в средата на октомври 2026 г. Изследователите оценяват със средна до висока степен на увереност, че зад нея стои APT29, известна още като Midnight Blizzard и Cozy Bear — група, свързвана със Службата за външно разузнаване на Русия (СВР). Според „Секоя“ целта е кражба на чувствителна информация, но не е изяснено дали нападателите са преследвали конкретни лица, или са се стремили да съберат възможно най-много данни от незащитени мобилни устройства.

Разследването описва три начина за разпространение на зловредния код: проникване в легитимни сайтове, създаване на фалшиви страници, имитиращи популярни платформи, и компрометиране на украинската услуга за уебанализ Plerdy. Освен българския сайт са засегнати сайт на украинска газодобивна компания, страница от американската химическа индустрия и сайт на европейска крайнодясна политическа партия.

При Plerdy между 27 август и 3 септември нападателите са внедрили зловреден код в инструмент, използван от хиляди сайтове, предимно украински, посочват изследователите. Сред тях има ресурси, свързани с армията, специалните части и производители на военно оборудване, включително дронове. Така обичайното посещение на легитимна страница е можело да изложи потребителите на атака.

При посещение на компрометиран сайт кодът установява операционната система и версията на браузъра. След това сървърът на нападателите може автоматично да задейства подходяща атака срещу уязвимото устройство. Според изследователите всички използвани уязвимости са били отстранени от производителите още преди началото на кампанията: описаните атаки са насочени към устройства без необходимите актуализации за сигурност.

За определени версии на iOS са използвани инструменти за извличане на бисквитки от браузъра, които могат да дадат достъп до вече отворени потребителски сесии, включително електронна поща. При други версии е използван DarkSword, способен да извлича SMS съобщения, данни от iMessage, WhatsApp и Telegram, запазени пароли, снимки, контакти, информация за местоположението и здравни данни.

Атаките срещу Android са насочени към определени версии на браузъра Chrome. Използваните слабости позволяват кражба на запазени данни за вход, история на сърфирането и пароли за Wi-Fi мрежи. Основната препоръка на специалистите е редовно инсталиране на последните версии на операционните системи и браузърите, тъй като за установените в кампанията уязвимости вече има поправки.

В операцията са използвани и фалшиви копия на сайта на America250 — американската инициатива за 250-годишнината от независимостта на САЩ — и на лондонския хотел „Рафълс Лондон“. Хотелът се намира в историческата сграда на британското военно министерство, близо до Министерството на отбраната и резиденцията на министър-председателя на „Даунинг стрийт“ 10. Според експертите имитацията на хотелския сайт може да е била предназначена за атаки срещу дипломати и високопоставени посетители.

„Секоя“ съобщава, че работи с националните екипи за реагиране при компютърни инциденти в засегнатите държави, включително Украйна, за установяване на потенциални жертви и прекъсване на инфраструктурата на нападателите.

На 4 ноември американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) е включила една от използваните уязвимости в каталога си на активно експлоатираните слабости в сигурността. Агенцията е потвърдила реални атаки срещу тази уязвимост, но не е посочила извършителите и не е обвързала решението си с разследването за APT29.