Хакери зламували Android-смартфони через вразливості в Chrome та графіці Snapdragon

Фахівці з кібербезпеки з Sekoia розкрили кампанію, спрямовану на користувачів Android-смартфонів та iPhone, під час якої зловмисники використовували зламані або підроблені сайти. У випадку з Android жертві було достатньо просто відкрити заражену сторінку в застарілій версії Chrome.

Джерело зображення: Mohamed Nohassi / unsplash.com

Атака на пристрої під Android проходила в кілька етапів. Спочатку експлуатувалася вразливість у Chrome під номером CVE-2026-3910 — вона дозволяє виконувати всередині браузера довільний код. Потім підключалася вразливість CVE-2025-27038 у драйвері графічного процесора Qualcomm Adreno, яка дозволяє вийти за межі пісочниці в Chrome і отримати більш глибокий доступ до системи смартфона. Таким чином, атакувалися пристрої, що працюють на чіпах Qualcomm Snapdragon.

Атака торкалася версій Chrome з 139 до 145 (за винятком 143, але причини цього не уточнюються). Скомпрометувавши пристрій, зловмисники встановлювали на нього шкідливе програмне забезпечення AndroSnitch. Воно викрадало з Chrome файли cookie, збережені облікові дані та історію відвідувань; крім того, хакери перехоплювали файл конфігурації Wi-Fi з паролями від мереж, якими користувалася жертва. Примітно, що експлойт для Android був запрограмований на припинення роботи при виявленні смартфона Samsung Galaxy S25 Ultra.

Зловмисники використовували кілька способів доставки шкідливого коду: його впровадження на легітимні сайти, створення підроблених копій існуючих ресурсів, а також скомпрометований сервіс веб-аналітики, яким користувалися кілька тисяч сайтів. Розміщений на заражених сторінках скрипт аналізував пристрій кожного відвідувача, після чого підбирав і запускав відповідний експлойт. Кампанію пов'язали з групою APT29; серед її цілей були офіційні особи, а не рядові користувачі. Цілями були і власники iPhone: одна з ланцюгів експлойтів дозволяла викрадати файли cookie в версіях iOS від 16 до 17.4 — експлойт DarkSword забезпечував доступ до повідомлень, фотографій і паролів на пристроях з iOS 18.5.

Використані в цій кампанії вразливості були усунені ще до початку атак — важливо встановити актуальну версію браузера Chrome — новішу за 145. Рекомендується також встановити останнє оновлення безпеки для смартфона — про усунення вразливості в драйвері Qualcomm Adreno компанія Google відзвітувала ще в серпні минулого року.

Хочеш дізнатися більше — читай відгуки