iOS-Android खामियों से हैकर्स ने फोन संक्रमित किए
मूल शीर्षक: Hackers exploited iOS and Android flaws to infect phones
यह क्यों महत्वपूर्ण है
राजनयिक और सरकारी लक्ष्यों पर supply-chain watering hole हमले mobile security की गंभीर सीमाएँ उजागर करते हैं।
Kremlin से जुड़े संदिग्ध हैकर्स ने iOS और Android की पुरानी खामियों का फायदा उठाकर america250.org समेत कई वेबसाइटों के ज़रिए diplomatic लक्ष्यों के फोन में malware डाला। Sekoia ने 4 नवंबर 2026 को यह जानकारी दी।
सुरक्षा फर्म Sekoia के शोधकर्ताओं ने बुधवार को खुलासा किया कि Russia की Foreign Intelligence Service से संभावित रूप से जुड़े हैकर्स ने एक बड़े watering hole हमले को अंजाम दिया। शोधकर्ताओं को "moderate to high confidence" है कि यह समूह APT29 है।
हमले की शुरुआत तब होती थी जब iPhone या Android उपयोगकर्ता किसी संक्रमित साइट पर जाते थे। Traffic में inject किया गया JavaScript पहले device को profile करता था, फिर platform के अनुसार tailored payload भेजता था — जो browser cookies, Wi-Fi passwords, और पूरे mobile डेटा चुराने में सक्षम था।
हमलावरों ने america250[.]holiday नाम का एक नकली domain बनाया, जो असली america250.org का reverse proxy था। यह साइट अमेरिकी स्वतंत्रता की 250वीं वर्षगांठ मनाने वाले एक गैर-दलीय समूह की है। एक और नकली साइट theowo[.]club ने London के Raffles OWO luxury hotel को impersonate किया — जो UK के Ministry of Defence और 10 Downing Street के करीब है। रिपोर्ट के अनुसार यूक्रेनी राष्ट्रपति Zelenskyy 14 अक्टूबर को इसी होटल में रुके थे।
हमलावरों ने तीन infection vectors का इस्तेमाल किया: legitimate साइटों में direct JavaScript injection, proxy domains, और एक यूक्रेनी web analytics service का supply-chain compromise — जो हज़ारों वेबसाइटों को serve करती है। एक बड़ी यूक्रेनी gas production कंपनी की वेबसाइट भी इसमें शामिल थी। तीनों मामलों में inject किया गया JavaScript एक ही था। अंतिम चरण में zero-click exploit chains का प्रयोग हुआ, जिनके लिए target से किसी interaction की ज़रूरत नहीं थी।