研究人员周三表示，疑似与克里姆林宫有关的黑客利用了此前已修复的iOS和安卓系统漏洞，试图入侵多个网站的访客设备，其中包括一个庆祝美国独立250周年的网站。
研究人员以”中高置信度”评估认为，这些攻击者可能隶属于俄罗斯对外情报局，其目标还包括其他多个与俄乌战争相关的网站。攻击始于iPhone或安卓用户访问潜在数百个不同网站中的任意一个。注入流量中的JavaScript程序会对设备进行特征分析。最终针对不同平台定制的恶意载荷会尝试窃取浏览器Cookie，部分情况下还会窃取WiFi密码及完整的移动设备数据。
挥舞”暗剑”
被仿冒的网站之一america250.org属于一个由两党议员、企业高管及至少一位特朗普政府前成员组成的无党派团体。攻击者注册了america250[.]holiday域名，并将其作为america250.org的反向代理服务器。这个冒牌网站在转发真实网站内容的同时植入了恶意JavaScript代码。
安全公司Sekoia的研究人员指出：”我们认为这一入侵组织可能有意选择该网站，因其与一场高规格国家庆典相关联，攻击者或许借机以该活动为诱饵开展邀请函主题的鱼叉式钓鱼攻击。”
第二个被仿冒的网站theowo[.]club代理了伦敦OWO莱佛士酒店官网。这家豪华酒店毗邻英国多个最敏感的政府机构，包括国防部和英国首相官邸兼办公室唐宁街10号。开源情报显示，乌克兰总统泽连斯基于10月14日访问期间曾下榻此处。
研究人员表示：”通过仿冒OWO莱佛士酒店实施水坑攻击，该入侵组织可能试图通过定向鱼叉式钓鱼活动，针对外交使团和高知名度宾客发动袭击。”
攻击者还通过被攻陷的网站——包括一家乌克兰顶级天然气生产公司——以及一家服务数千个网站的乌克兰网络分析服务商来传播攻击。Sekoia称其归因于克里姆林宫的判断依据包括目标特征，以及与先前归咎于APT29（疑似俄罗斯黑客组织的追踪代号之一）的攻击存在相似性。
黑客使用了三种感染途径：对合法网站流量直接注入JavaScript、使用如america250[.]holiday这类代理域名，以及供应链攻陷乌克兰网络分析服务商。每次攻击中注入的JavaScript代码完全相同。在第一阶段，JavaScript会对访客的浏览器和设备进行特征分析。随后攻击者利用这些信息部署三种零点击漏洞利用链之一，这些攻击无需目标进行任何交互即可生效。
其中一条漏洞链名为”暗剑”（DarkSword），这是一个iOS漏洞利用工具包。谷歌研究人员此前指出，土耳其商业监控供应商PARS Defense的客户及其他至少两个威胁行为者曾使用过该工具。Sekoia表示，近期行动中还使用了另外两条未命名的漏洞利用链。
此次攻击活动中利用的所有漏洞均为”N-day漏洞”，即已被厂商修补的漏洞，攻击仅对未更新至最新版本的iOS或安卓系统有效。