Руска хакерска група атакувала смартфони, сред компрометираните сайтове има и български

Хакерската група APT29, свързвана с руското външно разузнаване, е осъществила мащабна кибершпионска операция срещу потребители на смартфони с Android и iOS. Сред компрометираните интернет страници е и български сайт, свързан с военната сфера. Това съобщава френската компания за киберсигурност „Секоя“, цитирана от БГНЕС.

Разследването е разкрило операцията в средата на октомври 2026 г. Основната цел на атаките е била придобиването на чувствителна лична информация – пароли, електронна кореспонденция, съобщения, данни за местоположението и достъп до потребителски профили.

Три самолета кацнаха извънредно в България заради бомбени заплахи (видео)

Според експертите има средна до висока степен на увереност, че зад кампанията стои APT29, известна още с имената Midnight Blizzard и Cozy Bear. Групировката от години е свързвана със Службата за външно разузнаване на Русия (СВР).

Български военен сайт е сред компрометираните страници

Разследването установява три основни подхода за разпространение на зловредния код – проникване в легитимни интернет сайтове, създаване на фалшиви страници, имитиращи популярни платформи, и компрометиране на украинската услуга за уебанализ Plerdy.

Сред засегнатите интернет ресурси са сайт на украинска газодобивна компания, страница от американската химическа индустрия, сайт на европейска крайнодясна политическа партия и български сайт, свързан с военната сфера.

При атаката срещу българската страница хакерите са модифицирали съществуваща JavaScript библиотека, в която са внедрили зловреден код. Той е позволявал пренасочване на посетителите към инфраструктура, контролирана от нападателите.

Засега не се съобщават името и адресът на българския сайт. Не е ясно и дали негови посетители действително са станали жертва на успешна атака.

Компрометирана украинска платформа изложила на риск хиляди сайтове

Особено сериозен е случаят с украинската платформа Plerdy. В периода между 27 август и 3 септември нападателите са внедрили зловреден код в неин инструмент, използван от хиляди интернет страници, предимно в Украйна.

Сред тях има сайтове, свързани с армията, специалните части и производители на военно оборудване, включително безпилотни летателни апарати.

Така потребителите са могли да бъдат изложени на риск само при посещение на обикновена интернет страница, без да се налага да изтеглят файлове или да предприемат допълнителни действия.

След отваряне на компрометиран сайт зловредният код проверявал операционната система и версията на браузъра на устройството. В зависимост от установената конфигурация сървърите на нападателите можели автоматично да задействат атака срещу уязвимия смартфон.

Каква информация са можели да откраднат хакерите?

При устройствата с iOS са използвани различни инструменти според версията на операционната система. Част от тях позволявали извличане на бисквитки от браузъра, чрез които нападателите можели да получат достъп до вече отворени потребителски сесии, включително до електронна поща.

За други версии е използван инструментът DarkSword, който предоставял възможност за извличане на значително по-широк набор от лична информация.

Сред потенциално засегнатите данни са SMS съобщения, кореспонденция в iMessage, WhatsApp и Telegram, запазени пароли, снимки, контакти, местоположение и здравна информация.

Атаките срещу Android са били насочени към определени версии на браузъра Chrome. Използваните уязвимости позволявали кражба на запазени данни за вход, история на сърфирането и пароли за Wi-Fi мрежи.

Специалистите уточняват, че уязвимостите вече са били отстранени от производителите преди началото на кампанията. Това означава, че основният риск е бил за устройствата, на които не са инсталирани необходимите актуализации за сигурност.

Фалшиви сайтове на американска инициатива и лондонски хотел

Операцията е включвала и създаването на фалшиви копия на сайта на американската инициатива America250, посветена на 250-годишнината от независимостта на САЩ, както и на луксозния хотел „Рафълс Лондон“.

Хотелът се намира в историческата сграда на британското военно министерство, в близост до ключови държавни институции, сред които Министерството на отбраната и резиденцията на британския премиер на „Даунинг стрийт“ 10.

Според изследователите фалшивата страница може да е била създадена с цел атаки срещу дипломати и високопоставени посетители.

Все още няма яснота дали хакерите са преследвали конкретни лица, или са се опитвали да съберат възможно най-много информация от устройства с недостатъчна защита.

Компанията работи с националните екипи за реагиране при компютърни инциденти в засегнатите държави, включително Украйна, за установяване на потенциалните жертви и прекъсване на използваната от нападателите инфраструктура.

На 4 ноември американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) включи една от използваните уязвимости в каталога си на активно експлоатираните слабости. Агенцията потвърди, че срещу нея има реални атаки, но не посочи извършителите и не направи връзка с разследването срещу APT29.

Специалистите напомнят, че редовното актуализиране на операционните системи и интернет браузърите е основна мярка за защита.