O grupo de ameaça APT29, ligado à Rússia, está por trás de uma campanha em larga escala que visa usuários de iOS e Android por meio de sites comprometidos, domínios falsos e um ataque à cadeia de suprimentos envolvendo um serviço de rastreamento de SEO ucraniano chamado Plerdy SEO Tracker. A campanha utiliza código JavaScript injetado para coletar atributos de navegador e dispositivo. Esse ataque é caracterizado por técnicas de watering hole e supply chain attack.
Detalhes Técnicos
Grupo de Ameaça: APT29 (também conhecido como IRON RITUAL, IRON HEMLOCK, NobleBaron, Dark Halo, NOBELIUM, UNC2452) é um grupo de ameaça atribuído ao serviço de inteligência estrangeira da Rússia (SVR).
Técnica: Utilização de Phishing e Exploits para ganho de acesso inicial (T1566).
Modo de Operação: O grupo opera desde pelo menos 2008, frequentemente visando redes governamentais na Europa e países membros da OTAN, institutos de pesquisa e think tanks.
Código Malicioso: O código JavaScript injetado coleta atributos de navegador e dispositivo, permitindo o direcionamento de exploits para iOS e Android.
Cadeia de Suprimentos: O ataque envolveu a comprometimento de um serviço de rastreamento de SEO chamado Plerdy SEO Tracker, utilizado por sites ucranianos.
Próximos Passos
Verificar se há atualizações de segurança disponíveis para o Plerdy SEO Tracker e aplicá-las imediatamente.
Realizar análises de tráfego de rede para detectar possíveis códigos maliciosos injetados.
Educar os usuários sobre os riscos de phishing e a importância de manter os sistemas operacionais e aplicativos atualizados.
