În general, pentru furtul de date și / sau infectarea unui dispozitiv, e necesară instalarea și descărcarea unei aplicații / fișier, urmată de deschiderea sa. În schimb, s-a descoperit recent că o simplă vizită pe un site compromis a fost suficientă pentru infectarea unor telefoane Android.
Cercetătorii companiei de securitate Sekoia au documentat o campanie în care atacatorii au combinat două vulnerabilități deja cunoscute, una din Google Chrome și alta din driverul grafic Qualcomm. Victima nu trebuia să instaleze aplicații sau să accepte permisiuni, simpla încărcare a paginii malițioase fiind suficientă pentru declanșarea atacului. Iatădetalii!
Prima etapă folosea vulnerabilitatea CVE-2026-3910 pentru executarea de cod în Chrome. Ulterior, prin exploatarea CVE-2025-27038, prezentă în driverul GPU Adreno, atacatorii reușeau să depășească protecția browserului și să obțină acces mai profund la dispozitiv. Din acest motiv, atacul viza telefoanele cu procesoare Snapdragon și versiuni Chrome cuprinse între 139 și 145, cu excepția versiunii 143. Motivul acestei excluderi rămâne necunoscut.
După compromitere, malware-ul numit AndroSnitch colecta cookie-uri, date de autentificare salvate și istoricul navigării din Chrome. Era copiat inclusiv fișierul cu rețelele Wi-Fi memorate și parolele acestora. Cookie-urile furate puteau permite accesarea unor conturi fără reintroducerea parolei.
Un detaliu interesant este că atacul se oprea automat dacă era detectat un Samsung Galaxy S25 Ultra. Campania a folosit atât site-uri legitime în care fusese injectat cod periculos, cât și pagini false, inclusiv copii ale site-ului America250 și ale unui hotel londonez. Între 27 august și 3 septembrie 2026, atacatorii au compromis și un serviciu ucrainean de analiză web utilizat de mii de site-uri. Un script identifica dispozitivul vizitatorului și selecta exploitul potrivit.
Sekoia asociază campania grupării APT29, legată de serviciile ruse de informații externe. Țintele par să fi fost în special diplomați și persoane conectate la războiul din Ucraina. Au fost vizate și iPhone-uri. Pe iOS 16-17.4, atacurile urmăreau furtul cookie-urilor, în timp ce exploitul DarkSword putea extrage mesaje, fotografii și parole de pe dispozitive cu iOS 18.5.
Vestea bună este că vulnerabilitățile au fost remediate înaintea atacurilor. Pentru protecție, utilizatorii trebuie să actualizeze Chrome la o versiune mai nouă de 145 și să instaleze cele mai recente actualizări de securitate Android, care includ și corecțiile pentru driverele Qualcomm.
