Нова мащабна кампания за кибершпионаж разкри сериозни слабости в сигурността на Android устройствата, използващи процесори Qualcomm Snapdragon. Според анализ на специалистите по киберсигурност от компанията Sekoia, хакери са успели да комбинират уязвимост в браузъра Google Chrome с проблем в графичния драйвер Adreno на Qualcomm, за да получат достъп до мобилни устройства без необходимост от каквото и да било действие от страна на техните собственици. Особено тревожното в случая е, че атаката е от типа „zero-click“ – потребителят не трябва да отваря прикачен файл, да инсталира приложение, да натиска подозрителен линк или да предоставя допълнителни разрешения. Достатъчно е просто да посети компрометиран уебсайт със стара версия на Chrome.

Според публикуваните данни атаката използва две конкретни уязвимости. Първата, обозначена като CVE-2026-3910, се намира в Google Chrome и позволява на нападателите да изпълняват зловреден код в рамките на браузъра. След като получат първоначален достъп, те използват втора уязвимост – CVE-2025-27038, открита в драйвера на графичните процесори Qualcomm Adreno. Тя позволява заобикаляне на защитната изолация на Chrome, известна като sandbox, и проникване на по-дълбоко системно ниво. Именно тази комбинация превръща иначе ограничената уязвимост в браузъра в много по-сериозна заплаха, тъй като нападателите могат да излязат извън защитената среда на приложението и да получат достъп до чувствителна информация на телефона.

Кампанията е насочена към устройства, използващи версии на Google Chrome от 139 до 145, като по неизвестни причини версия 143 е пропусната. След успешното проникване хакерите инсталират зловреден софтуер, наречен от изследователите AndroSnitch. Неговата основна задача е да събира и извлича информация от компрометираното устройство. Сред откраднатите данни са бисквитките на Chrome, запазените данни за вход в различни уебсайтове, историята на сърфирането и конфигурационният файл на Wi-Fi мрежите, към които телефонът се е свързвал. Последното е особено притеснително, тъй като този файл може да съдържа паролите за запазените безжични мрежи. Откраднатите браузърни бисквитки също представляват сериозен риск: те могат да позволят на нападателите да получат достъп до вече активни потребителски сесии, без непременно да знаят оригиналната парола за съответния акаунт.

Интересен детайл от анализа на Sekoia е, че експлойтът за Android съдържа специална проверка, която прекратява изпълнението му, ако бъде разпознат Samsung Galaxy S25 Ultra. Изследователите не посочват други конкретни модели смартфони, които са били изключени от атаката, нито дават достатъчно информация за точния обхват на засегнатите Android версии. Това обаче не означава, че останалите устройства са били защитени. Основният критерий за успешната атака е наличието на уязвима версия на браузъра и съответния графичен драйвер.

Киберпрестъпниците са използвали няколко различни метода, за да достигнат до потенциалните си жертви. В някои случаи са инжектирали зловреден код в легитимни уебсайтове, които вече имат изградена репутация и редовна аудитория. В други са създавали фалшиви копия на реални интернет страници, предназначени да заблудят посетителите. Сред установените примери са имитация на официалния сайт на инициативата America250, свързана с отбелязването на 250-годишнината от независимостта на САЩ, както и фалшива версия на луксозния лондонски хотел Raffles London at The OWO. Допълнителен канал за разпространение е компрометирана украинска услуга за уеб анализи, използвана от хиляди интернет страници, предимно в Украйна. Според информацията на Sekoia зловредният код е бил разпространяван чрез тази услуга между 27 август и 3 септември.

При посещение на заразена страница специален JavaScript скрипт първо анализира устройството на посетителя, версията на операционната система и използвания браузър. Въз основа на събраната информация сървърът на нападателите определя кой експлойт да бъде изпратен. Така атаката може да бъде адаптирана към конкретната платформа, вместо да използва един и същ зловреден код срещу всички посетители. Изследователите свързват операцията с хакерската група APT29, която е асоциирана с руската Служба за външно разузнаване. Оценката се основава на сходства с предишни операции, припокриване на използваната инфраструктура и характера на избраните цели. Според анализа кампанията вероятно е била насочена основно към дипломати и лица, свързани с войната в Украйна, а не към случайни потребители на мобилни устройства.

Важно е да се отбележи, че операцията не е била ограничена само до Android. Изследователите са установили и атаки срещу iPhone устройства, при които са използвани различни вериги от уязвимости. При някои версии на iOS нападателите са се опитвали да откраднат браузърни бисквитки, докато други експлойти са позволявали извличането на значително по-чувствителна информация, включително съобщения, снимки и пароли. Сред използваните инструменти е и DarkSword – експлойт комплект, предназначен за компрометиране на устройства на Apple. Това показва, че кампанията е била организирана с възможност за атаки срещу различни мобилни платформи, като зловредният код се адаптира спрямо конкретното устройство.

Има обаче и добра новина. Според публикуваните анализи всички уязвимости, използвани в разглежданата кампания, вече са били отстранени чрез съответните актуализации за сигурност. Това означава, че устройствата с инсталирани актуални версии на Chrome и последните налични системни корекции не би трябвало да бъдат уязвими към описаната конкретна атака. Потребителите на Android трябва да проверят дали използват актуална версия на Google Chrome, като отворят менюто на браузъра и изберат Settings (Настройки), след което About Chrome (За Chrome). Необходимо е също да проверят за налични системни актуализации в настройките на телефона, тъй като корекциите за драйверите на Qualcomm се разпространяват чрез пакетите за сигурност, предоставяни от производителите на устройствата.

Случаят е поредното доказателство, че сигурността на съвременните смартфони зависи не само от операционната система и приложенията, но и от софтуера, който управлява хардуерните компоненти. Графичните процесори, които традиционно се свързват основно с обработката на изображения и видео, имат привилегирован достъп до определени системни ресурси и могат да се превърнат в сериозна входна точка за нападателите. Ето защо редовното инсталиране на актуализации остава една от най-важните мерки за защита, дори когато потребителят не инсталира приложения от непознати източници и избягва съмнителни интернет страници.

Снимка: Unsplash

Виж още: ИИ експерт спря да спестява за пенсия, защото смята, че човечеството може да изчезне до 10 години