Хакеры взламывали Android-смартфоны через дыры в Chrome и графике Snapdragon05.11.2026 15:30

Коротко сгенерировано ИИ по тексту статьи

Sekoia связала кампанию с APT29: заражённые и поддельные сайты подбирали эксплойт для устройства посетителя; среди целей были официальные лица.
На Android с чипами Qualcomm Snapdragon атаковали Chrome версий 139–145, кроме 143; AndroSnitch крал данные браузера и пароли Wi-Fi.
На iPhone эксплойты похищали cookie в iOS 16–17.4, а DarkSword получал доступ к сообщениям, фото и паролям в iOS 18.5.

Почему это важно: Уязвимости исправили до начала атак; текст рекомендует обновить Chrome до версии новее 145 и установить последнее обновление безопасности смартфона.

Специалисты по кибербезопасности из Sekoia раскрыли кампанию, направленную на пользователей Android-смартфонов и iPhone, в ходе которой злоумышленники использовали взломанные или поддельные сайты. В случае с Android жертве было достаточно просто открыть заражённую страницу в устаревшей версии Chrome.

Источник изображения: Mohamed Nohassi / unsplash.com

Атака на устройства под Android проходила в несколько этапов. Сначала эксплуатировалась уязвимость в Chrome за номером CVE-2026–3910 — она позволяет выполнять внутри браузера произвольный код. Затем подключалась уязвимость CVE-2025–27038 в драйвере графического процессора Qualcomm Adreno, которая позволяет выйти за пределы песочницы в Chrome и открыть более глубокий доступ к системе смартфона. Таким образом, атаке подвергались устройства, работающие на чипах Qualcomm Snapdragon.

Атака затрагивала версии Chrome со 139 до 145 (за исключением 143, но причины этого не уточняются). Скомпрометировав устройство, злоумышленники устанавливали на него вредонос AndroSnitch. Он похищает из Chrome файлы cookie, сохранённые учётные данные и историю посещений; кроме того, хакеры перехватывали файл конфигурации Wi-Fi с паролями от сетей, которыми пользовалась жертва. Примечательно, что эксплойт для Android был запрограммирован на прекращение работы при обнаружении смартфона Samsung Galaxy S25 Ultra.

Злоумышленники использовали несколько способов доставки вредоносного кода: его внедрение на легитимные сайты, создание поддельных копий существующих ресурсов, а также скомпрометированный сервис веб-аналитики, которым пользовались несколько тысяч сайтов. Размещённый на заражённых страницах скрипт анализировал устройство каждого посетителя, после чего подбирал и запускал соответствующий эксплойт. Кампанию связали с группировкой APT29; среди её целей значились официальные лица, а не рядовые пользователи. Целями были и владельцы iPhone: одна из цепочек эксплойтов позволяла похищать файлы cookie в версиях iOS от 16 до 17.4 — эксплойт DarkSword обеспечивал доступ к сообщениям, фотографиям и паролям на устройствах с iOS 18.5.

Использованные в этой кампании уязвимости были устранены ещё до начала атак — важно установить актуальную версию браузера Chrome — новее 145. Рекомендуется также установить последнее обновление безопасности для смартфона — об устранении уязвимости в драйвере Qualcomm Adreno компания Google отчиталась ещё в августе минувшего года.