Τον τελευταίο καιρό βλέπουμε όλο και πιο συχνά πως το internet έχει γίνει εξαιρετικά επικίνδυνο. Οι κυβερνοεπιθέσεις αυξάνονται με γρήγορους ρυθμούς, τα κενά ασφαλείας σκάνε σχεδόν καθημερινά και η ιδέα ότι κάποιος είναι στο απυρόβλητο έχει αρχίσει να καταρρέει. Τώρα έχουμε μπροστά μας μια νέα και ιδιαίτερα σοβαρή εκστρατεία κυβερνοκατασκοπείας, η οποία βάζει στο στόχαστρο τόσο συσκευές iPhone όσο και Android.
Την υπόθεση έφερε στο φως η γαλλική εταιρεία κυβερνοασφάλειας Sekoia και της έδωσε την ονομασία Poisoned Source. Οι ερευνητές πιστεύουν με μεγάλη βεβαιότητα ότι πίσω από την επιχείρηση βρίσκεται η διαβόητη ομάδα APT29, γνωστή στον χώρο και ως Cozy Bear ή Midnight Blizzard, η οποία συνδέεται με τη ρωσική υπηρεσία πληροφοριών SVR. Το πιο ανησυχητικό στοιχείο της υπόθεσης είναι ο τρόπος δράσης. Οι hackers ανέπτυξαν μια μέθοδο όπου το υποψήφιο θύμα δεν χρειάζεται να πατήσει κανένα link και δεν χρειάζεται να κατεβάσει τίποτα. Αρκεί απλώς και μόνο να μπει σε μια σελίδα, είτε αυτή είναι πλαστή είτε πρόκειται για κανονική ιστοσελίδα που έχει παραβιαστεί.
Πώς στήθηκε η επίθεση
Για να παγιδεύσουν τις συσκευές, οι δράστες κινήθηκαν σε τρία διαφορετικά επίπεδα. Αρχικά παραβίασαν κανονικές ιστοσελίδες και φόρτωσαν σε αυτές κακόβουλο κώδικα JavaScript. Παράλληλα έστησαν ψεύτικα sites που αντέγραφαν πραγματικές υπηρεσίες, όπως μια απομίμηση της επίσημης αμερικανικής πρωτοβουλίας America250, αλλά και ένα πιστό αντίγραφο της σελίδας του πολυτελούς ξενοδοχείου Raffles London at The OWO, το οποίο βρίσκεται ακριβώς δίπλα στο βρετανικό υπουργείο Άμυνας.
Το τρίτο και πιο επικίνδυνο χτύπημα αφορούσε την παραβίαση του Plerdy SEO Tracker, μιας ουκρανικής υπηρεσίας μέτρησης επισκεψιμότητας που χρησιμοποιείται από χιλιάδες sites. Για περίπου μία εβδομάδα οι hackers είχαν τον έλεγχο του εργαλείου, με αποτέλεσμα ο κακόβουλος κώδικας να τρέχει αυτόματα σε όποιον έμπαινε σε αυτές τις σελίδες. Ανάμεσά τους βρισκόταν ένας μεγάλος ουκρανικός παραγωγός φυσικού αερίου καθώς και σελίδα βουλγαρικού στρατιωτικού ενδιαφέροντος. Η επιλογή δείχνει πως ο πραγματικός στόχος ήταν συγκεκριμένα πρόσωπα, όπως διπλωμάτες, στρατιωτικοί και κυβερνητικά στελέχη.
Τι μπορούν να υποκλέψουν από τα τηλέφωνα
Μόλις κάποιος άνοιγε μια τέτοια σελίδα, ο κώδικας διάβαζε αμέσως τα χαρακτηριστικά της συσκευής, το λειτουργικό σύστημα και τον browser, και στη συνέχεια ενεργοποιούσε το κατάλληλο exploit.
Στα iPhone χρησιμοποιήθηκε το εργαλείο εκμετάλλευσης ευπαθειών DarkSword. Σε συσκευές με ευάλωτες εκδόσεις του iOS οι επιτιθέμενοι μπορούσαν να τραβήξουν cookies, μηνύματα SMS και iMessage, αποθηκευμένους κωδικούς, επαφές, φωτογραφίες, αλλά και ολόκληρες τις βάσεις δεδομένων του WhatsApp και του Telegram. Στα τηλέφωνα Android η επίθεση στόχευε συγκεκριμένες εκδόσεις του Chrome, από την 139 έως και την 145 με εξαίρεση την 143, υποκλέπτοντας ιστορικό περιήγησης, cookies και κωδικούς Wi-Fi. Ο συνολικός αριθμός των συσκευών που παραβιάστηκαν παραμένει άγνωστος, καθώς σκοπός της έρευνας ήταν να ξεσκεπάσει την επιχείρηση και όχι να καταγράψει τα θύματα.
Το παράδοξο των κυβερνητικών συσκευών
Το μόνο ευχάριστο στην όλη ιστορία είναι ότι τα περισσότερα κενά ασφαλείας είχαν ήδη διορθωθεί από την Apple και την Google πριν ξεκινήσει η εκστρατεία. Οι ευπάθειες ήταν γνωστές και οι απλοί χρήστες με ενημερωμένο λογισμικό δεν κινδύνευαν.
Το παράδοξο όμως εντοπίζεται στις επίσημες κυβερνητικές και στρατιωτικές συσκευές. Εκεί κάθε νέα ενημέρωση λογισμικού πρέπει πρώτα να ελεγχθεί εξονυχιστικά από ειδικά τμήματα ασφαλείας πριν δοθεί άδεια να εγκατασταθεί στα τηλέφωνα. Αυτό έχει ως αποτέλεσμα οι συσκευές αυτές να μένουν συχνά πολύ πίσω στις αναβαθμίσεις, ανοίγοντας παράθυρο σε επιθέσεις που εκμεταλλεύονται παλιά και γνωστά κενά.
Με τη ματιά του Techmaniacs
Σε μια εποχή που τα πάντα περνούν μέσα από το κινητό μας, από τραπεζικές συναλλαγές μέχρι κυβερνητικές υπηρεσίες και προσωπικές συνομιλίες, η ασφάλεια δεν χωράει αναβολές.
Το συγκεκριμένο περιστατικό αποδεικνύει για άλλη μια φορά πως το πιο σημαντικό πράγμα που έχουμε να κάνουμε είναι να κρατάμε πάντα το λειτουργικό και τις εφαρμογές μας ενημερωμένα στην τελευταία έκδοση. Παράλληλα, επειδή κακόβουλες εφαρμογές καταφέρνουν συχνά να τρυπώσουν ακόμα και σε επίσημα καταστήματα, αποφεύγουμε εργαλεία αμφίβολης προέλευσης που υπόσχονται εύκολες δωρεάν λύσεις, γιατί πολύ συχνά στο παρασκήνιο κρύβουν επικίνδυνες παγίδες.
