แฮกเกอร์รัสเซียใช้ Watering Holes เจาะ iOS และ Android ทั่วโลก

Midnight Blizzard กลุ่มผู้ไม่หวังดีที่ได้รับการสนับสนุนจากรัฐบาลรัสเซีย ถูกตรวจพบว่ากำลังมุ่งเป้าโจมตีผู้ใช้ iOS และ Android ในยุโรปและสหรัฐอเมริกา โดยใช้ zero-click exploits ที่พุ่งเป้าไปยังช่องโหว่ประเภท n-day ตามรายงานล่าสุดจากบริษัทความปลอดภัยไซเบอร์ Sekoia

กลุ่ม Midnight Blizzard หรือที่รู้จักในชื่อ APT29, Cozy Bear, The Dukes, Nobelium และ Yttrium เชื่อกันว่าดำเนินงานภายใต้หน่วยข่าวกรองต่างประเทศของรัสเซีย (SVR) โดยมีพฤติการณ์มุ่งเป้าไปที่องค์กรภาครัฐ นักการทูต ผู้ให้บริการไอที และองค์กรไม่แสวงหาผลกำไร (NGO) เพื่อรวบรวมข่าวกรอง

The attacks ที่ Sekoia ตรวจพบเป็นส่วนหนึ่งของแคมเปญ watering hole ขนาดใหญ่ มีการแฮกหรือเลียนแบบเว็บไซต์ที่มีชื่อเสียงในสหรัฐฯ ยูเครน สาธารณรัฐเช็ก และบัลแกเรีย เพื่อหลอกล่อเหยื่อ

แฮกเกอร์ได้ฉีดรหัส JavaScript อันตรายลงในเว็บไซต์ของบริษัทพลังงานในยูเครน สมาคมการค้า และพรรคการเมืองในยุโรป รวมถึงมีการแก้ไขไฟล์บนเว็บไซต์ที่เกี่ยวข้องกับกองทัพบัลแกเรีย รหัสนี้จะทำการ fingerprint เพื่อเก็บข้อมูลเบราว์เซอร์และอุปกรณ์ของผู้เข้าชมในรูปแบบ JSON ก่อนจะส่งการเจาะระบบ (exploit) เข้าไป

ในการโจมตีรูปแบบ adversary-in-the-middle (AiTM) กลุ่ม APT นี้ได้จดทะเบียนโดเมนเลียนแบบเพื่อทำหน้าที่เป็น reverse proxies สำหรับเว็บไซต์ america250.org ซึ่งเป็นเว็บครบรอบการประกาศอิสรภาพของสหรัฐฯ และเว็บไซต์ของโรงแรม Raffles London at The OWO ซึ่งตั้งอยู่ใกล้กับหน่วยงานรัฐบาลสำคัญของสหราชอาณาจักร

Sekoia ตั้งข้อสังเกตว่าการปลอมแปลงเว็บไซต์โรงแรม Raffles London อาจเป็นการมุ่งเป้าไปที่คณะผู้แทนทางการทูตผ่านแคมเปญ spear-phishing เนื่องจากมีรายงานว่าประธานาธิบดี Volodymyr Zelensky ของยูเครน เคยเข้าพักที่นี่ระหว่างการเยือนเมื่อวันที่ 14 ตุลาคม

นอกจากนี้ แฮกเกอร์ยังโจมตีแบบ supply chain ผ่าน Plerdy บริการวิเคราะห์เว็บของยูเครน โดยเพิ่มรหัสอันตรายลงในไฟล์ tracker ส่งผลให้เว็บไซต์หลายร้อยแห่งตกอยู่ในความเสี่ยง รวมถึงเว็บไซต์ของหน่วยรบพิเศษและผู้ผลิตอุปกรณ์ทางทหารประเภทขีปนาวุธและ UAV

สำหรับชุดคำสั่งเจาะระบบ (exploit chains) ที่ใช้ตลอดแคมเปญมีทั้งหมด 3 ชุด แบ่งเป็นสำหรับ iOS สองชุดที่พึ่งพา DarkSword exploit kit ซึ่งถูกตรวจพบเมื่อต้นปีนี้ และสำหรับ Android อีกหนึ่งชุด ทั้งหมดมุ่งเป้าไปที่ช่องโหว่ที่เคยได้รับการแก้ไขไปแล้ว

ชุดคำสั่งแรกใช้รหัส RCE จาก DarkSword ร่วมกับช่องโหว่ CVE-2024-27834 เพื่อข้ามการป้องกัน Pointer Authentication Codes (PAC) ของ Apple และรันรหัสเพื่อขโมยคุกกี้ภายนอก Safari โดยช่องโหว่ CVE-2024-27834 ได้รับการ patched in May 2024 ใน iOS 17.5 และระบบปฏิบัติการอื่นๆ ของ Apple เรียบร้อยแล้ว ขณะที่ CISA ได้เพิ่มช่องโหว่นี้ลงใน KEV catalog เมื่อวันพุธที่ผ่านมา

ชุดที่สองเน้นการใช้ DarkSword เพื่อเข้าถึงระบบและยกระดับสิทธิ์ โดย payload ขั้นสุดท้ายจะรวบรวมข้อมูลครบถ้วนจากอุปกรณ์ ทั้งข้อความ อีเมล ข้อมูลประจำตัว โทเคน ผู้ติดต่อ ประวัติการโทร รายการปฏิทิน คุกกี้ และข้อมูลใน iCloud Drive

ชุดคำสั่งสุดท้ายมุ่งเป้าที่ Android ผ่านช่องโหว่ CVE-2026-3910 ของ Chrome ที่ถูก patched in March และ CVE-2025-27038 ซึ่งเป็นบั๊กของ Qualcomm ที่ได้รับการแก้ไขใน Android’s August 2025 security update โดยใช้ payload ชื่อ AndroSnitch เพื่อขโมยข้อมูลคุกกี้และรหัสผ่าน

Sekoia ประเมินว่าการนำ exploit chains แบบ n-day ที่สำเร็จรูปมาใช้ ช่วยลดต้นทุนและระดับทักษะที่จำเป็นในการเจาะระบบมือถือ และคาดว่าการนำช่องโหว่จากผู้ขายซอฟต์แวร์สอดแนมเชิงพาณิชย์ (CSV) มาใช้ใหม่ในกลุ่มแฮกเกอร์ที่รัฐสนับสนุนจะมีให้เห็นถี่ขึ้นในอนาคต