ChromeとSnapdragon GPUの脆弱性を連鎖、Androidを攻撃

標的はChrome 139〜145で、143は理由不明のまま除外されていた。感染後は、Sekoiaが「AndroSnitch」と呼ぶマルウェアが、Chromeのクッキー、保存されたログイン情報、閲覧履歴、さらに接続済みネットワークのパスワードを含むWi-Fi設定ファイルを盗む。Galaxy S25 Ultraを検出すると動作を止める設計だった。

攻撃者は正規サイトへの不正コード挿入、本物そっくりの偽サイトの設置、ウクライナのウェブ解析サービスの侵害などで被害者を誘導した。このサービスは8月27日から9月3日にかけて、主にウクライナの数千のサイトで使われていた。偽サイトにはAmerica250のコピーや、英政府機関近くの高級ロンドンホテルを装うものがあった。ページ上のスクリプトが端末を判別し、適合するエクスプロイトを配信した。

背景と対策

Sekoiaは、この活動をロシア対外情報庁に関連するAPT29によるものとみている。標的の傾向から、主な狙いは外交官やウクライナ戦争に関わる人物とみられる。iPhoneも標的で、iOS 16〜17.4ではクッキーを盗み、iOS 18.5ではDarkSwordがメッセージや写真、パスワードを奪った。

悪用された脆弱性はすべて攻撃開始前に修正済みだった。Play ストアでChromeを更新し、「設定」>「Chromeについて」でバージョンが145より新しいか確認したい。QualcommのGPUドライバーの修正は月例のセキュリティ更新で配信されるため、端末の最新更新も適用すべきだ。