Група розвідки загроз Google (Google Threat Intelligence Group/GTIG) розповіла про нову схему, яку використовували росіяни для отримання доступу до повідомлень у зашифрованому месенджері Signal. Цю тактику застосовували для здобуття інформації з повідомлень українських військових.

Команда Google повідомляє, що кілька хакерських груп, тісно пов'язаних з російським урядом, здійснювали фішингові атаки. Ці групи, позначені як UNC5792 та UNC4221, використовували функцію месенджера для сканування QR-кодів, щоб приєднатися до нових груп і чатів. Вони надсилали фішингові повідомлення з запрошеннями в чати через QR-коди, що містили приховані javascript-команди, які дозволяли під'єднати смартфон жертви до нового пристрою та отримати доступ до всіх її повідомлень.

Ці повідомлення виглядали як звичайні запрошення до чатів, що, здавалося, належать військовим групам у Signal. Однак, коли жертви сканували QR-код, їх пристрій одразу підключався до пристрою зловмисників, надаючи доступ до історії повідомлень.

Команди Google та Signal стверджують, що ця схема не порушувала шифрування месенджера. Натомість вона використовувала два функціональні QR-коди: один для запрошення до нової групи, а інший - для з'єднання акаунта з пристроєм зловмисників через функцію "Зв'язані пристрої". Під час сканування ці QR-коди непомітно для користувача замінювали один одного.

Минулого тижня Signal вже випустила оновлення для застосунку на iOS та Android, яке має на меті запобігти таким випадкам. Відтепер користувачів попереджатимуть, коли їх акаунт намагаються з'єднати з новим пристроєм та попросять додатково підтвердити, що вони хочуть поділитися повідомленнями.

Google зазначає, що схожу тактику застосовували й до інших месенджерів, таких як Telegram і WhatsApp, але основною ціллю був Signal через його популярність серед українських військових. При цьому представники компанії підкреслюють, що ця стратегія не обмежувалась лише українцями, а використовувалася й проти активістів, журналістів та інших користувачів Signal по всьому світу.