I ricercatori di Sekoia hanno scoperto una nuova campagna di cyberspionaggio attribuita con ogni probabilità al collettivo russo APT29 (noto anche come Cozy Dukes o Midnight Blizzard). Il gruppo ha sfruttato siti web infetti per violare dispositivi Android e iPhone, riuscendo in alcuni casi a sottrarre credenziali, cookie di autenticazione, cronologia di navigazione, messaggi e fotografie. Lo sfondo, come prevedibile, è quello del conflitto in Ucraina.
Come funziona l'attacco su Android
La parte più insidiosa riguarda Android: bastava visitare una pagina compromessa con una versione vulnerabile di Chrome per aprire una breccia nello smartphone, senza che l'utente dovesse scaricare applicazioni, concedere autorizzazioni o cliccare su link sospetti. L'exploit è tecnicamente molto raffinato e combina due falle: CVE-2026-3910, nel browser Chrome, e CVE-2025-27038, nel driver grafico delle GPU Adreno di Qualcomm. La prima consente di eseguire codice non autorizzato nel browser, la seconda permette di superare la sandbox e ottenere un accesso più profondo al dispositivo.
Di conseguenza l'attacco funzionava solo sui telefoni con chip Snapdragon: i dispositivi con Exynos, Tensor e MediaTek/Dimensity/Helio erano immuni. Curiosamente, l'exploit era programmato per non attivarsi se rilevava un Samsung Galaxy S25 Ultra come bersaglio. Erano vulnerabili solo versioni piuttosto datate di Chrome, dalla 139 alla 145, con un'eccezione misteriosa nella 143.
AndroSnitch e il furto dei dati
Una volta ottenuto il controllo dello smartphone, il malware AndroSnitch raccoglieva cookie, credenziali salvate e cronologia di navigazione, oltre al file con le configurazioni Wi-Fi memorizzate sul dispositivo. Un promemoria chiaro: aggiornare browser e sistema operativo non è mai un dettaglio banale, soprattutto quando la minaccia arriva da gruppi statali altamente organizzati.
