Cyberattacco globale contro smartphone Android e iPhone: nel mirino i chip Qualcomm e i sistemi iOS

Gli specialisti di sicurezza informatica di Sekoia hanno individuato una vasta campagna di attacchi informatici mirata a colpire utenti di smartphone Android e iPhone attraverso l'impiego di siti web compromessi o contraffatti. L'operazione, attribuita al gruppo di minaccia APT29, ha sfruttato una catena di vulnerabilità tecniche per penetrare nei dispositivi e sottrarre informazioni riservate, concentrandosi in particolare su figure istituzionali e funzionari ufficiali piuttosto che su utenti comuni.

L'offensiva contro i dispositivi Android si è articolata in diverse fasi tecniche. Inizialmente, gli aggressori hanno sfruttato una falla nel browser Chrome, identificata come CVE-2026-3910, che permette l'esecuzione di codice arbitrario all'interno dell'applicazione. Successivamente, l'attacco ha utilizzato una seconda vulnerabilità, la CVE-2025-27038, situata nel driver del processore grafico Qualcomm Adreno. Questo secondo passaggio ha consentito agli hacker di uscire dalla "sandbox" di sicurezza del browser e ottenere un accesso profondo al sistema operativo dello smartphone. Per questa ragione, i dispositivi dotati di chip Qualcomm Snapdragon sono risultati i principali bersagli della campagna.

Secondo quanto riportato nell'analisi tecnica, l'attacco ha interessato le versioni di Chrome comprese tra la 139 e la 145, con l'eccezione della versione 143 per motivi non specificati. Una volta compromesso lo smartphone, i criminali informatici hanno installato un malware denominato AndroSnitch. Questo software malevolo è progettato per sottrarre dal browser i file cookie, le credenziali di accesso salvate e la cronologia di navigazione. Inoltre, gli autori dell'attacco sono stati in grado di intercettare i file di configurazione Wi-Fi, ottenendo così le password delle reti utilizzate dalle vittime. Un dettaglio rilevante emerso dall'indagine riguarda il comportamento dell'exploit per Android, programmato per interrompere la propria attività nel caso in cui rilevasse la presenza di uno smartphone Samsung Galaxy S25 Ultra.

Le modalità di diffusione del codice malevolo hanno previsto diversi canali: l'inserimento di script in siti web legittimi già esistenti, la creazione di copie speculari di portali noti e la compromissione di un servizio di analisi web utilizzato da migliaia di siti. Lo script inserito nelle pagine infette era in grado di analizzare le specifiche tecniche del dispositivo di ogni visitatore per selezionare ed eseguire l'exploit più adatto alla configurazione software e hardware rilevata.

Parallelamente, la campagna ha preso di mira anche i possessori di iPhone. Una specifica catena di exploit ha permesso la sottrazione di cookie sulle versioni di iOS dalla 16 alla 17.4. Per i dispositivi aggiornati a iOS 18.5, invece, è stato impiegato l'exploit denominato DarkSword, capace di garantire agli attaccanti l'accesso a messaggi privati, fotografie e password archiviate sul dispositivo della vittima.

Sebbene la campagna sia stata rilevata recentemente, gli esperti sottolineano che le vulnerabilità sfruttate erano già state risolte dai produttori prima dell'inizio delle attività malevole. Per quanto riguarda il driver Qualcomm Adreno, Google aveva già comunicato la risoluzione del problema nel mese di agosto 2025. Per proteggere i propri dati, agli utenti viene raccomandato di verificare l'installazione della versione 145 o successive di Chrome e di applicare gli ultimi aggiornamenti di sicurezza disponibili per il proprio sistema operativo.