Bezpieczeństwo5 lis 2026, 15:08 UTC·2 min czytania

Hakerzy połączyli luki w Chrome i GPU Snapdragona, by zaatakować Androida

Sekoia: hakerzy powiązani z APT29 połączyli lukę w Chrome z błędem w sterowniku Qualcomm Adreno, by infekować telefony z Androidem. Obie luki były już załatane.

Zdjęcie: Android Authority

Hakerzy powiązani z grupą APT29 wykorzystali łańcuch dwóch luk – w przeglądarce Chrome i w sterowniku GPU Qualcomm Adreno – aby infekować telefony z Androidem odwiedzające spreparowane strony. Jak wynika z ustaleń firmy Sekoia, obie podatności były już załatane, więc urządzenia z aktualnym Chrome i najnowszymi poprawkami bezpieczeństwa pozostały bezpieczne.

Jak działał atak

Na Androidzie ofiara nie musiała klikać linku, instalować aplikacji ani przyznawać uprawnień. Wystarczyło otworzyć zainfekowaną stronę w przestarzałej wersji Chrome. Najpierw atakujący wykorzystywali lukę CVE-2026-3910 do uruchomienia kodu w przeglądarce. Następnie używali błędu CVE-2025-27038 w sterowniku Adreno, by wyjść poza piaskownicę Chrome i uzyskać głębszy dostęp do telefonu. Ponieważ grafika Adreno działa w układach Snapdragon, zagrożone były urządzenia z procesorami Qualcomma.

Atak dotyczył wyłącznie Chrome w wersjach od 139 do 145, z pominięciem wersji 143 z niejasnych dla Sekoia powodów. Po przejęciu telefonu instalowano złośliwe oprogramowanie AndroSnitch, które kopiowało ciasteczka Chrome, zapisane dane logowania, historię przeglądania oraz plik konfiguracji Wi-Fi z hasłami do sieci. Skradzione ciasteczka są szczególnie cenne, bo mogą pozwolić wejść na konta, na których użytkownik jest już zalogowany. Exploit miał też przerywać działanie po wykryciu Samsunga Galaxy S25 Ultra.

Ofiary i dystrybucja

Atakujący wstrzykiwali złośliwy kod do legalnych witryn, tworzyli kopie prawdziwych stron i przejęli ukraińską usługę analityki internetowej używaną przez tysiące głównie ukraińskich serwisów, między 27 sierpnia a 3 września. Wśród fałszywych stron była kopia witryny America250 oraz strona imitująca luksusowy londyński hotel w pobliżu budynków rządu Wielkiej Brytanii. Skrypt profilował urządzenie odwiedzającego i serwował pasujący exploit.

Sekoia wiąże kampanię z APT29, grupą powiązaną z rosyjskim wywiadem zagranicznym. Cele sugerują, że chodziło głównie o dyplomatów i osoby związane z wojną w Ukrainie. Atakowano także iPhone'y: jeden łańcuch kradł ciasteczka na iOS od 16 do 17.4, a exploit DarkSword wykradał wiadomości, zdjęcia i hasła z iOS 18.5.

Jak się chronić

Zaktualizuj Chrome w Sklepie Play i sprawdź w menu Ustawienia > Informacje o Chrome, czy masz wersję nowszą niż 145. Zainstaluj też najnowszą aktualizację zabezpieczeń telefonu, bo poprawki sterowników GPU Qualcomma trafiają do urządzeń w miesięcznych łatkach.