Általában adatlopáshoz vagy egy eszköz megfertőzéséhez alkalmazást vagy fájlt kell letölteni, telepíteni, majd megnyitni. Most azonban kiderült, hogy egy feltört weboldal egyszerű megnyitása is elegendő lehetett Android-telefonok megfertőzéséhez.
A Sekoia biztonsági kutatói olyan kampányt dokumentáltak, amelyben a támadók két, már ismert sérülékenységet kapcsoltak össze: az egyik a Google Chrome -ot, a másik a Qualcomm grafikus illesztőprogramját érintette. Az áldozatnak sem alkalmazást telepítenie, sem engedélyeket jóváhagynia nem kellett: a rosszindulatú oldal betöltése önmagában elindíthatta a támadást.
Az első lépés a CVE-2026-3910 sérülékenységet használta kódfuttatásra a Chrome-ban. Ezt követően a CVE-2025-27038 kihasználásával – amely az Adreno GPU illesztőprogramjában található – a támadók megkerülhették a böngésző védelmét, és mélyebb hozzáférést szerezhettek a készülékhez. A támadás ezért Snapdragon processzoros telefonokat és a 139–145 közötti Chrome-verziókat célozta, a 143-as verzió kivételével. Ennek oka nem ismert.
A kompromittálás után az AndroSnitch nevű kártevő Chrome-cookie-kat, mentett bejelentkezési adatokat és böngészési előzményeket gyűjtött. A mentett Wi-Fi-hálózatokat és azok jelszavait tartalmazó fájlt is lemásolta. Az ellopott cookie-k lehetővé tehették fiókok elérését a jelszó újbóli megadása nélkül.
Érdekesség, hogy a támadás automatikusan leállt, ha Samsung Galaxy S25 Ultrát észlelt. A kampányban rosszindulatú kóddal fertőzött, legitim webhelyeket és hamis oldalakat is használtak, köztük az America250 webhelyének és egy londoni hotel oldalának másolatait. A támadók 2026. augusztus 27. és szeptember 3. között egy több ezer weboldal által használt ukrán webanalitikai szolgáltatást is kompromittáltak. Egy szkript azonosította a látogató eszközét, majd kiválasztotta a megfelelő exploitot.
A Sekoia a kampányt az APT29 csoporthoz köti, amelyet az orosz külső hírszerzéshez kapcsolnak. A célpontok főként diplomaták és az ukrajnai háborúhoz kötődő személyek lehettek. iPhone-okat is célba vettek: iOS 16–17.4 alatt a cookie-k ellopása volt a cél, míg a DarkSword exploit iOS 18.5-ös eszközökről üzeneteket, fényképeket és jelszavakat is kinyerhetett.
A jó hír, hogy a sérülékenységeket a támadások előtt javították. A védekezéshez a felhasználóknak frissíteniük kell a Chrome-ot 145-nél újabb verzióra, és telepíteniük kell a legfrissebb Android-biztonsági frissítéseket is, amelyek a Qualcomm illesztőprogramjainak javításait is tartalmazzák.
