Sebastian Juul
En rysk hackargrupp smittar iPhone och Android via vanliga webbplatser utan att offret klickar på något.
Säkerhetsföretaget Sekoia upptäckte kampanjen i mitten av oktober och knyter den med medel-till-hög säkerhet till den ryska statsstödda gruppen APT29, också känd som Midnight Blizzard. Angreppen rullade ut mot besökare i USA, Ukraina, Tjeckien och Bulgarien, rapporterar Bleeping Computer.
Det handlar om en så kallad watering hole-attack: hackarna komprometterade legitima webbplatser som målgruppen redan brukade besöka, och satte dessutom upp falska klonsidor. Så fort en mobilanvändare landade på sidan körde en dold JavaScript-rutin igång och profilerade telefonen innan den valda exploit-kedjan laddades.
Zero-click betyder exakt det namnet säger
Zero-click innebär att offret inte behöver trycka på en länk, ladda ned en fil eller godkänna någon dialog för att bli smittad. Ett vanligt sidbesök räcker.
Angriparna använde så kallade n-day exploits, alltså sårbarheter som redan var offentligt kända och patchade men som fortfarande fungerade på enheter som inte kört senaste uppdateringen. Enligt den tekniska analysen från Sekoia, refererad av GBHackers, riktades angreppen mot iOS 16.7 och iOS 18.5 samt mot Chrome för Android version 139-145, med undantag för version 143.
Målet var att dammsuga enheten på inloggningsuppgifter. På iOS extraherades kakor, meddelandedatabaser från WhatsApp och Telegram, Keychain-hemligheter, wifi-lösenord, positionsdata, foton och delar av iCloud Drive. På Android togs Chrome-kakor, sparade inloggningar, surfhistorik och wifi-konfiguration.
Komprometterade sidor, falska klonsidor och en tracker som tusentals webbplatser laddade
Sekoia dokumenterar en bred mix av angrepps-ytor. Legitima sidor som smittades inkluderade en ukrainsk gasproducent, en amerikansk branschorganisation inom kemiindustrin och en bulgarisk militärrelaterad webbplats, enligt Bleeping Computers genomgång. Dessutom byggde angriparna klonsidor som imiterade det amerikanska jubileumsinitiativet America250 och lyxhotellet Raffles London at The OWO.
Mellan 27 augusti och 3 september 2026 lyckades APT29 även kompromettera webbanalystjänsten Plerdy, vars script laddades av tusentals webbplatser, främst ukrainska. Det är en klassisk leveranskedjeattack: en enda infekterad komponent når tusentals helt oskyldiga sidor på en gång.
Själva fingeravtryckningen skedde via ett skript som Sekoia döpt till UltimateFingerprinter. Enligt forskarna gömdes skriptet bakom runt 2,3 MB död AngularJS-kod och samlade in 394 olika fält om enheten innan en exploit valdes.
En omstart stoppar aktiviteten – men bara tills du besöker en smittad sida igen
En viktig detalj: ingen av de nyttolaster APT29 använde etablerade persistens. Det betyder att en omstart av telefonen stoppar den skadliga aktiviteten. Nackdelen är lika uppenbar – besöker du samma komprometterade sida igen smittas enheten på nytt.
Apple och Google har patchat samtliga sårbarheter som utnyttjades i kampanjen, inklusive för äldre iOS-utgåvor. Praktiska råd till den som använder iPhone eller en Android-telefon just nu: kör den senaste tillgängliga systemuppdateringen, uppdatera Chrome till senaste versionen, och starta om telefonen om du misstänker att du besökt en komprometterad sida. Chrome-användare hittar versionsnumret under Inställningar – Om Chrome; iPhone-användare under Inställningar – Allmänt – Programuppdatering.
