Wprowadzenie do problemu / definicja
Kampanie typu watering hole należą do najbardziej podstępnych technik wykorzystywanych przez zaawansowane grupy APT. Zamiast atakować ofiarę bezpośrednio, napastnicy kompromitują zaufane serwisy internetowe lub ich komponenty zewnętrzne, licząc na to, że cel sam odwiedzi przygotowaną infrastrukturę. Najnowsza operacja przypisywana rosyjskiej grupie APT29 pokazuje, że model ten coraz częściej obejmuje również urządzenia mobilne z systemami iOS i Android.
W skrócie
Badacze wykryli szeroko zakrojoną kampanię watering hole wymierzoną w użytkowników mobilnych. Atak wykorzystywał trzy główne wektory: wstrzyknięcia JavaScript do legalnych witryn, fałszywe domeny działające jak pośrednik między użytkownikiem a prawdziwym serwisem oraz kompromitację zewnętrznej usługi analitycznej ładowanej przez tysiące stron.
Po odwiedzeniu zainfekowanej witryny ofiara była profilowana, a następnie otrzymywała łańcuch exploitów dopasowany do wersji systemu i przeglądarki. Celem było wykradanie cookies, zapisanych danych przeglądarki, haseł Wi‑Fi, a w części przypadków także pełnych danych z urządzenia.
Kontekst / historia
APT29, znana również pod nazwami Cozy Bear, Midnight Blizzard czy The Dukes, od lat jest łączona z operacjami szpiegowskimi prowadzonymi w interesie rosyjskich służb wywiadowczych. Grupa specjalizuje się w długotrwałych kampaniach ukierunkowanych na podmioty rządowe, dyplomatyczne, infrastrukturalne i polityczne.
W opisywanej operacji infrastruktura i dobór ofiar sugerują koncentrację na Ukrainie, Europie oraz Stanach Zjednoczonych. Wśród wykrytych elementów kampanii znalazły się zarówno przejęte legalne witryny, jak i domeny podszywające się pod rozpoznawalne serwisy. Dodatkowo napastnicy skompromitowali komponent analityczny wykorzystywany przez dużą liczbę stron, co istotnie zwiększyło skalę ekspozycji użytkowników na atak.
Charakterystyczne jest również to, że kampania nie opierała się na 0-dayach. Zamiast tego użyto znanych i wcześniej załatanych podatności typu n-day, co potwierdza rosnący trend ponownego wykorzystywania gotowych lub półgotowych zestawów exploitów w operacjach wywiadowczych.
Analiza techniczna
Mechanizm ataku był wieloetapowy. Po wejściu na zainfekowaną stronę do przeglądarki ofiary dołączany był zewnętrzny skrypt profilujący, określany przez badaczy jako UltimateFingerprinter. Kod zbierał szeroki zestaw informacji o urządzeniu i środowisku wykonawczym, obejmujący parametry ekranu, możliwości dotykowe, cechy przeglądarki, interfejsy Web API oraz elementy charakterystyczne dla ekosystemu Apple.
Skrypt miał rozmiar sztucznie powiększony przez dołączenie zminifikowanej biblioteki AngularJS, która stanowiła zdecydowaną większość pliku. Taka technika mogła utrudniać analizę automatyczną i jednocześnie maskować złośliwy komponent jako legalny zasób front-endowy.
Po zebraniu fingerprintu dane były wysyłane do serwera dostarczającego właściwy ładunek. Co istotne, rozbudowane profilowanie nie służyło zaawansowanej selekcji ofiar w czasie rzeczywistym. Badacze ustalili, że decyzja o dostarczeniu exploita zależała głównie od prostych warunków logicznych, takich jak realistyczny rozmiar ekranu i obecność funkcji dotykowych. To sugeruje, że operatorzy kampanii byli bardziej zainteresowani szybkim odfiltrowaniem środowisk analitycznych i emulowanych niż precyzyjnym targetowaniem technicznym na etapie dostarczenia.
Zidentyfikowano trzy klasy łańcuchów exploitów. Dwa z nich dotyczyły iOS, a jeden Androida. W scenariuszu iOS jeden wariant koncentrował się na kradzieży cookies, drugi umożliwiał znacznie szerszą eksfiltrację danych z urządzenia. Obejmowało to m.in. wiadomości SMS i iMessage, indeksy poczty, voicemail, bazy danych komunikatorów, wpisy z pęku kluczy, dane kont, historię połączeń, notatki, dane lokalizacyjne czy zapisane klucze Wi‑Fi. W przypadku Androida celem były przede wszystkim cookies Chrome, zapisane dane logowania, historia przeglądania oraz konfiguracja sieci bezprzewodowych.
Warto podkreślić, że ładunki nie ustanawiały trwałej persystencji na urządzeniu. Operacja była nastawiona na szybką eksfiltrację wartościowych danych po skutecznym uruchomieniu łańcucha exploitów. Taki model działania jest spójny z kampaniami wywiadowczymi, w których priorytetem pozostaje dyskretne pozyskanie dostępu do sesji, kont i komunikacji ofiary.
Szczególnie niebezpieczny był element łańcucha dostaw. Przejęcie skryptu analitycznego zewnętrznego dostawcy oznaczało, że wiele witryn mogło nieświadomie serwować kod napastnika bez bezpośredniego włamania do własnej aplikacji. To klasyczny przykład ryzyka związanego z uzależnieniem bezpieczeństwa front-endu od komponentów third-party.
Konsekwencje / ryzyko
Najważniejszą konsekwencją tej kampanii jest pokazanie, że mobilne watering hole przestają być niszowym scenariuszem i stają się pełnoprawnym narzędziem operacji APT. Dla organizacji oznacza to kilka istotnych zagrożeń.
- Kradzież cookies i tokenów może umożliwić przejęcie aktywnych sesji oraz dostęp do poczty webowej, paneli administracyjnych i usług SaaS bez konieczności znajomości hasła.
- Pozyskanie danych z komunikatorów, wiadomości i pęku kluczy może prowadzić do eskalacji operacyjnej, dalszego spear phishingu oraz kompromitacji kontaktów ofiary.
- Atak przez legalne strony internetowe znacząco utrudnia wykrycie, ponieważ użytkownik nie musi wykonywać podejrzanej akcji poza zwykłym odwiedzeniem zaufanego serwisu.
Ryzyko jest szczególnie wysokie w środowiskach dyplomatycznych, administracji publicznej, sektorze obronnym oraz w organizacjach, których pracownicy korzystają z urządzeń mobilnych do obsługi poczty, komunikatorów i systemów firmowych. Kampania pokazuje również, że nawet brak 0-day nie obniża realnego poziomu zagrożenia, jeśli organizacja nie utrzymuje wysokiej skuteczności patch managementu.
Rekomendacje
Podstawowym środkiem obrony pozostaje szybkie aktualizowanie iOS, Androida oraz przeglądarek mobilnych. Opisana kampania wykorzystywała wyłącznie znane podatności, więc w pełni zaktualizowane urządzenia nie powinny być podatne na analizowane łańcuchy exploitów.
- Wdrożenie rygorystycznego programu zarządzania aktualizacjami dla urządzeń mobilnych, również tych używanych przez kadrę zarządzającą i pracowników terenowych.
- Ograniczenie korzystania z niekontrolowanych komponentów zewnętrznych JavaScript oraz monitorowanie integralności ładowanych skryptów.
- Stosowanie mechanizmów CSP, Subresource Integrity i inspekcji zmian w zasobach front-endowych.
- Prowadzenie monitoringu ruchu do nietypowych domen telemetrycznych, serwerów pośredniczących i infrastruktur CDN o nieznanym przeznaczeniu.
- Rozbudowa ochrony MDM/UEM o detekcję anomalii sieciowych, stanu aktualizacji i sygnałów kompromitacji aplikacji przeglądarkowych.
- Skrócenie czasu życia sesji oraz stosowanie dodatkowych mechanizmów uwierzytelniania odpornych na przejęcie samych cookies.
- Przeprowadzenie przeglądu zależności dostawców zewnętrznych, zwłaszcza usług analitycznych, marketingowych i tag managementu.
Z perspektywy zespołów SOC i IR istotne jest także polowanie na symptomy kompromitacji związane z nagłym wyciekiem cookies, podejrzanymi żądaniami JavaScript z poziomu legalnych stron oraz wzorcami dostępu wskazującymi na przejęte sesje użytkowników mobilnych.
Podsumowanie
Operacja przypisywana APT29 to przykład dojrzałej kampanii szpiegowskiej łączącej watering hole, kompromitację łańcucha dostaw oraz mobilne łańcuchy exploitów dla iOS i Androida. Technicznie nie była to kampania oparta na nowych podatnościach, jednak jej skuteczność wynikała z połączenia zaufanych punktów wejścia, szerokiego profilowania urządzeń oraz sprawnej eksfiltracji danych wysokiej wartości.
Dla obrońców kluczowy wniosek jest jednoznaczny: bezpieczeństwo urządzeń mobilnych musi być traktowane na równi z ochroną stacji roboczych i serwerów, a komponenty zewnętrzne ładowane w przeglądarce powinny podlegać równie ścisłej kontroli jak kod własnej aplikacji.
Źródła
- Security Affairs — https://securityaffairs.com/202473/apt/russian-apt29-targets-mobile-users-with-watering-hole-attacks.html
- Poisoned Source: APT29 watering holes target mobile devices with n-day exploits — https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits