Na rosnącą skalę tego zjawiska zwraca uwagę ukraiński CERT-UA w raporcie "Cyber Threats: Ukraine" dotyczącym pierwszej połowy 2026 roku. Państwowa Służba Specjalnej Łączności i Ochrony Informacji Ukrainy podkreśla, że urządzenia mobilne przestały być jedynie dodatkowym kanałem prowadzenia cyberataków. Stały się samodzielnym i priorytetowym obszarem zainteresowania napastników.
Fałszywa strona zamiast prawdziwej aplikacji
Jednym ze stosowanych mechanizmów jest tworzenie witryn, które na pierwszy rzut oka mogą przypominać oficjalne strony ukraińskich brygad wojskowych. Inny wariant polega na podszywaniu się pod aplikacje związane z ostrzeganiem przed zagrożeniami i alarmami powietrznymi.
Takie działania wykorzystują przede wszystkim zaufanie użytkownika. Jeżeli ofiara uzna stronę za oficjalne źródło informacji, może zostać nakłoniona do wykonania czynności, która pozwoli napastnikom przeprowadzić dalszą część ataku.
CERT-UA zwraca uwagę, że zainteresowanie cyberprzestępców urządzeniami mobilnymi wiąże się m.in. z ilością poufnych informacji przechowywanych obecnie w smartfonach. Telefon może zapewniać dostęp nie tylko do zdjęć czy wiadomości, ale także do kont, dokumentów, komunikatorów i innych danych, które mogą mieć znaczenie dla prowadzonego rozpoznania.
Atak może zacząć się od wejścia na stronę
Szczególnie interesującym przykładem jest DarkSword - zestaw exploitów przeznaczony do atakowania urządzeń Apple. Badacze Google Threat Intelligence Group ustalili, że był on wykorzystywany przeciwko użytkownikom w Ukrainie. Ataki polegały na kompromitowaniu ukraińskich stron internetowych, które następnie mogły służyć do dostarczenia złośliwego kodu na urządzenia odwiedzających je osób. CERT-UA współpracował przy przeciwdziałaniu tej kampanii.
DarkSword jest szczególnie niebezpieczny, ponieważ wykorzystywany łańcuch podatności pozwalał na przejęcie urządzenia bez konieczności instalowania przez użytkownika klasycznego złośliwego programu. Google informował, że kampania wymierzona w ukraińskich użytkowników była aktywna co najmniej do marca 2026 roku. Badacze Digital Security Lab Ukraine wskazują, że w przypadku takich ataków samo odwiedzenie odpowiednio przygotowanej strony może wystarczyć do rozpoczęcia infekcji podatnego urządzenia.
Hakerzy wykorzystują legalne usługi
Ukraińskie służby zwracają uwagę również na inną tendencję. Napastnicy coraz częściej wykorzystują legalnie działające platformy i usługi, aby ukryć własną infrastrukturę i utrudnić wykrycie ataku. Złośliwe pliki mogą być przechowywane na GitHubie, Telegram może służyć do przesyłania wykradzionych informacji, a usługi takie jak Cloudflare czy ngrok mogą być wykorzystywane do ukrywania infrastruktury komunikacyjnej.
Samo wykorzystanie tych platform nie oznacza oczywiście, że są one złośliwe. Problem polega na tym, że popularne i legalne usługi mogą zostać wykorzystane przez napastników jako element łańcucha ataku. Podobną taktykę CERT-UA opisywał już wcześniej w kontekście rosyjskich operacji cyberszpiegowskich.
Fałszywe profile i strony instytucji
Ukraińska Służba Bezpieczeństwa informuje jednocześnie o nasileniu działań polegających na tworzeniu stron internetowych oraz profili w mediach społecznościowych imitujących oficjalne zasoby instytucji państwowych i mediów. Według SBU informacje uzyskiwane za pomocą takich operacji mogą być wykorzystywane m.in. do działań rekrutacyjnych oraz pozyskiwania poufnych danych dotyczących aktywności ukraińskich Sił Obrony i Bezpieczeństwa.
Nie jest to zupełnie nowa metoda. CERT-UA już wcześniej ostrzegał przed kampaniami wykorzystującymi fałszywe strony podszywające się pod oficjalne aplikacje przeznaczone dla ukraińskich wojskowych. W jednym z takich przypadków użytkownicy byli nakłaniani do pobrania programu, który po uruchomieniu umożliwiał napastnikom uzyskanie dostępu do komputera i kradzież danych. Najnowszy raport pokazuje jednak szerszy trend - telefon staje się dla cyberprzestępców i grup cyberszpiegowskich podstawowym celem.
