Atak obejmował telefony z układami Snapdragon, bo drugi błąd dotyczył sterownika Adreno od Qualcomma. Napastnicy celowali w Chrome 139–145, z pominięciem wersji 143. Kod przerywał działanie po wykryciu modelu Samsung Galaxy S25 Ultra.
Z opisu badaczy z Sekoia wynika, że włamanie przebiegało etapami. Najpierw luka CVE-2026–3910 pozwalała uruchomić kod w Chrome, a potem błąd CVE-2025–27038 pomagał wyjść poza piaskownicę przeglądarki i uzyskać głębszy dostęp do telefonu.
Po przejęciu urządzenia atakujący instalowali złośliwe oprogramowanie nazwane przez Sekoia AndroSnitch. Program kopiował pliki cookies z Chrome, zapisane loginy, historię przeglądania oraz plik z konfiguracją Wi-Fi, w którym znajdują się hasła do wcześniej używanych sieci.
WIDEOZabrałem vivo X500 Pro Max na rejs. Telekonwerter dał radę
Ofiary trafiały na pułapkę na kilka sposobów. Przestępcy wstrzykiwali kod do prawdziwych witryn, tworzyli ich fałszywe kopie i przejęli ukraińską usługę analityczną używaną przez tysiące stron między 27 sierpnia a 3 września. Skrypt rozpoznawał urządzenie i dobierał odpowiedni exploit.
Badacze łączą kampanię z grupą APT29, powiązaną z rosyjskim wywiadem zagranicznym. Dobór celów wskazuje, że interesowali się przede wszystkim dyplomatami i osobami związanymi z wojną w Ukrainie. Ataki objęły też iPhone'y: jedna ścieżka działała na iOS 16–17.4, a DarkSword na iOS 18.5.
Istotne jest to, że wszystkie wykorzystane luki już załatano. Żeby ograniczyć ryzyko, warto sprawdzić w ustawieniach Chrome, czy przeglądarka ma nowszą wersję niż 145, oraz zainstalować najnowszą miesięczną poprawkę bezpieczeństwa telefonu.
