هکرهای روسی با اکسپلویت‌های بدون کلیک به iOS و اندروید از طریق سایت‌های هک‌شده حمله کردند

پژوهشگران امنیتی شرکت Sekoia اعلام کرده‌اند که یک گروه هک وابسته به دولت روسیه با راه‌اندازی یک کمپین گسترده «چاهک آبخوری» (watering hole)، کاربران iOS و اندروید را هدف زنجیره‌های اکسپلویت بدون کلیک قرار داده است؛ حمله‌ای که به هیچ تعاملی از سوی قربانی جز بازدید از یک وب‌سایت آلوده یا جعلی نیاز نداشت. این شرکت با اطمینان متوسط تا بالا این عملیات را به APT29، که با نام Midnight Blizzard نیز شناخته می‌شود، نسبت می‌دهد؛ همان گروهی که مایکروسافت آن را به نفوذ SolarWinds و مجموعه‌ای از حملات اخیر از طریق Wi-Fi هتل‌ها مرتبط دانسته است.

حملات چاهک آبخوری با آلوده‌کردن سایت‌هایی که مخاطب هدف احتمالاً از آن‌ها بازدید می‌کند انجام می‌شوند، نه با حمله مستقیم به قربانیان. این رویکرد در اینجا اهمیت دارد زیرا به یک بازیگر دولتی با منابع گسترده اجازه می‌دهد شبکه‌ای وسیع بیندازد و منتظر بماند تا قربانیان خودشان به سراغ اکسپلویت بیایند، به‌جای ارسال لینک فیشینگ که ممکن است هدف آن را تشخیص دهد. بر اساس اعلام Sekoia، این کمپین سه تاکتیک جداگانه را ترکیب کرده است: آلوده‌سازی وب‌سایت‌های واقعی، راه‌اندازی دامنه‌های جعلی مشابه، و تصرف پنهانی یک اسکریپت تحلیل وب پرکاربرد.

زنجیره اکسپلویت چگونه کار می‌کرد

کد جاوااسکریپت تزریق‌شده در صفحات آلوده، ابتدا نوع دستگاه و نسخه مرورگر هر بازدیدکننده را شناسایی می‌کرد. سپس یک سرور فرماندهی و کنترل، زنجیره اکسپلویت متناسب با همان پلتفرم را ارسال می‌کرد. در iOS 16.7، مهاجمان با ترکیب CVE-2025-43529 و CVE-2024-27834 کوکی‌های Safari را سرقت می‌کردند. در iOS 18.5، زنجیره‌ای طولانی‌تر شامل CVE-2025-43529، CVE-2026-20700، CVE-2025-14174، CVE-2025-43510 و CVE-2025-43520 اطلاعات پایگاه‌داده‌های WhatsApp و Telegram، اطلاعات ورود ذخیره‌شده در Keychain، داده‌های مکان و تصاویر را جمع‌آوری می‌کرد. در Chrome برای اندروید نسخه‌های ۱۳۹ تا ۱۴۵ (به‌جز نسخه ۱۴۳)، آسیب‌پذیری‌های CVE-2026-3910 و CVE-2025-27038 همراه با ابزاری که Sekoia آن را AndroSnitch می‌نامد، برای سرقت کوکی‌ها، اطلاعات ورود ذخیره‌شده، تاریخچه مرور و اطلاعات Wi-Fi به کار گرفته می‌شدند.

همه این موارد آسیب‌پذیری‌های «n-day» هستند؛ یعنی آسیب‌پذیری‌هایی که وصله امنیتی برای آن‌ها از پیش در دسترس بوده، اما همچنان روی دستگاه‌هایی که آخرین به‌روزرسانی امنیتی را نصب نکرده‌اند کار می‌کنند. به‌طور مشخص، CVE-2025-43529 با کیت اکسپلویت موسوم به «DarkSword» مرتبط است که برای نخستین بار در مارس ۲۰۲۶ مستند شد و گزارش‌ها حاکی از آن است که دست‌کم از نوامبر ۲۰۲۵ توسط چند بازیگر تهدید مختلف مورد استفاده بوده است.

سایت‌های آلوده‌شده و یک پیچش در زنجیره تأمین

این کمپین ترکیبی از اهداف واقعی و جعلی را هدف قرار داد. Sekoia دریافت که چند سایت واقعی مستقیماً آلوده شده‌اند، از جمله یک تولیدکننده گاز اوکراینی، یک انجمن صنفی صنعت شیمیایی در آمریکا، و سایتی وابسته به نظامی در بلغارستان. در کنار آن، مهاجمان دامنه‌هایی جعلی مشابه راه‌اندازی کردند که خود را به‌جای سایت رسمی America250 و هتل Raffles London در The OWO جا می‌زدند و محتوای سایت‌های واقعی را در قالب حمله میان‌افزار (adversary-in-the-middle) بازتاب می‌دادند، به‌طوری‌که بازدیدکننده هیچ تفاوتی احساس نمی‌کرد.

مهم‌ترین اقدام این کمپین، نفوذ به زنجیره تأمین شرکت Plerdy، ارائه‌دهنده خدمات تحلیل وب اوکراینی، بود. مهاجمان اسکریپت ردیابی سئوی این شرکت را در بازه اواخر اوت تا اوایل سپتامبر تغییر دادند و این کد تغییریافته روی هزاران وب‌سایتی که ردیاب Plerdy را در خود جای داده بودند بارگذاری شد؛ اکثریت قریب‌به‌اتفاق این سایت‌ها در اوکراین قرار داشتند.

ادامه ماجرا چیست

هیچ‌یک از این بارهای مخرب روی دستگاه‌های آلوده ماندگاری (persistence) ایجاد نکردند، به این معنا که یک راه‌اندازی مجدد ساده فعالیت مخرب را متوقف می‌کرد، مگر آنکه کاربر دوباره از سایت آلوده بازدید می‌کرد. اپل و گوگل از آن زمان تمام آسیب‌پذیری‌های مورد سوءاستفاده را وصله کرده‌اند، از جمله وصله‌های بازگشتی برای نسخه‌های قدیمی‌تر iOS. یافته‌های Sekoia که نخستین‌بار توسط بیل توولاس در BleepingComputer گزارش شد، یک الگوی شناخته‌شده را بار دیگر برجسته می‌کند: گروه‌های وابسته به دولت‌ها به‌طور فزاینده‌ای از اکسپلویت‌هایی که در ابتدا توسط فروشندگان تجاری نرم‌افزار جاسوسی ساخته شده‌اند استفاده مجدد می‌کنند و آسیب‌پذیری‌های وصله‌شده «n-day» را به سلاحی مؤثر علیه هر کسی که در به‌روزرسانی دستگاه خود عقب بماند تبدیل می‌کنند.

برای اکثر کاربران، نتیجه عملی ساده است: به‌محض در دسترس قرار گرفتن، به‌روزرسانی‌های امنیتی iOS و اندروید را نصب کنید، زیرا برای تمام آسیب‌پذیری‌های استفاده‌شده در این کمپین وصله وجود دارد. سازمان‌هایی که اسکریپت‌های تحلیل یا ردیابی شخص ثالث را در سایت خود جای می‌دهند نیز باید آن‌ها را بخشی از سطح حمله خود در نظر بگیرند، نه صرفاً یک ابزار بازاریابی؛ نفوذ به Plerdy نشان می‌دهد که چگونه یک تأمین‌کننده مورد اعتماد می‌تواند به کانالی برای توزیع بدافزار در میان هزاران سایت بی‌ربط تبدیل شود.