Hackers russos usam sites falsos para infectar iPhones e Android
Pesquisadores atribuem a campanha ao grupo APT29, ligado à inteligência russa, que explorou falhas já corrigidas de iOS e Android para espionar diplomatas. Ataques zero-click roubaram cookies, senhas de Wi-Fi e dados de apps de mensagem.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A empresa de cibersegurança francesa Sekoia, especializada em inteligência de ameaças, identificou uma campanha de espionagem que atribui, com confiança moderada a alta, ao grupo APT29 — também conhecido como Midnight Blizzard ou Cozy Bear e ligado à inteligência russa. Segundo a Sekoia, o objetivo era alcançar diplomatas e visitantes de alto perfil.
Os atacantes comprometeram sites legítimos e criaram domínios falsos imitando páginas reais, como um site fraudulento que copiava o portal oficial das comemorações dos 250 anos dos EUA. Entre 27 de agosto e 3 de setembro de 2026, o grupo também sequestrou por uma semana o script de analytics da plataforma ucraniana Plerdy, injetando um código de rastreamento batizado de UltimateFingerprinter — um arquivo de 2,3 MB, baseado majoritariamente na biblioteca AngularJS — para identificar o dispositivo de cada visitante e decidir qual ataque aplicar.
Foto: reprodução/cybersecuritynews.com
A partir daí, o código explorava falhas n-day (já corrigidas pelos fabricantes, mas não aplicadas em todos os aparelhos) em iOS e Android, sem exigir nenhum clique da vítima. Em iPhones, as versões vulneráveis incluíam iOS 16.7 e iOS 18.5, com uso de um kit de exploração chamado DarkSword para coletar bancos de dados do iMessage, WhatsApp e Telegram, credenciais do Keychain, localização e fotos. Em aparelhos Android, os invasores encadearam uma falha do Chrome (CVE-2026-3910) com uma vulnerabilidade no driver gráfico Adreno (CVE-2025-27038) para instalar um payload chamado AndroSnitch, roubando cookies, senhas de Wi-Fi e dados do dispositivo.
Quem é afetado
Segundo a Sekoia, os sites comprometidos ou visados incluíam uma associação comercial do setor químico nos Estados Unidos, uma produtora de gás ucraniana e um site militar búlgaro, além de alvos na República Tcheca e no Reino Unido. O padrão das vítimas reforça a hipótese de foco em diplomatas e organizações internacionais, não no público em geral — mas qualquer pessoa que tenha visitado um dos sites comprometidos com o aparelho desatualizado pode ter sido exposta.
O que fazer agora
- Atualize o iPhone para a versão mais recente do iOS e o Android para o patch de segurança mais atual disponível para o modelo;
- Atualize o navegador Chrome separadamente, já que uma das falhas exploradas estava no app e não no sistema;
- Evite aparelhos que não recebem mais atualizações de segurança do fabricante;
- Diplomatas, funcionários públicos e profissionais de ONGs internacionais devem redobrar a atenção a links e sites incomuns, mesmo vindos de fontes aparentemente confiáveis;
- Monitore o consumo de dados e bateria do aparelho, sinais indiretos de atividade maliciosa em segundo plano.