آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) روز چهارشنبه یک آسیب‌پذیری امنیتی با شدت متوسط را که چندین سیستم‌عامل اپل (Apple) را تحت تأثیر قرار می‌دهد، به فهرست آسیب‌پذیری‌های شناخته‌شده مورد سوءاستفاده (KEV) اضافه کرد. این اقدام پس از دریافت گزارش‌هایی مبنی بر بهره‌برداری فعال از این نقص صورت گرفت.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی با شناسه CVE-2024-27834 (امتیاز CVSS: 5.5) شناخته می‌شود و مربوط به یک مورد احراز هویت نادرست (Improper Authentication) است. این آسیب‌پذیری به مهاجمی که قابلیت خواندن و نوشتن دلخواه (Arbitrary Read and Write) داشته باشد، اجازه می‌دهد تا مکانیزم Pointer Authentication را دور بزند.
شرکت اپل در می ۲۰۲۴ با ارائه به‌روزرسانی‌هایی برای iOS 16.7.8، iPadOS 16.7.8، iOS 17.5، iPadOS 17.5، macOS Sonoma 14.5، tvOS 17.5، watchOS 10.5 و Safari 17.5 این مشکل را برطرف کرد. پیش از این، این نقص در ماه مارس همان سال به عنوان یک زیرو دِی در مسابقه هک Pwn2Own ونکوور به نمایش گذاشته شده بود.
نقش عامل تهدید APT29
اضافه شدن این مورد به فهرست KEV در پی گزارشی از شرکت Sekoia صورت گرفت. بر اساس این گزارش، عامل تهدیدهای احتمالی مرتبط با روسیه از آسیب‌پذیری‌های اصلاح‌شده در Safari و Google Chrome برای توزیع بدافزارهای جاسوسی (Info-stealing Malware) استفاده کرده‌اند که قادر به جمع‌آوری داده‌های مرورگر و دستگاه هستند.
این فعالیت‌ها با «اطمینان متوسط تا زیاد» به گروه APT29 (که با نام‌های Cozy Bear و Midnight Blizzard نیز شناخته می‌شود) نسبت داده شده است؛ گروهی تحت حمایت دولت که وابسته به سرویس اطلاعات خارجی روسیه (SVR) است.
زنجیره حمله و متدهای دسترسی
حملات مذکور از سه مسیر اصلی برای دسترسی اولیه استفاده می‌کنند:
- وب‌سایت‌های قانونی که مورد نفوذ قرار گرفته‌اند.
- سایت‌های جعلی که خود را به جای وب‌سایت‌های محبوب جا می‌زنند.
- حمله زنجیره تأمین (Supply Chain Attack) هدفمند علیه Plerdy SEO Tracker.
در این حملات، کدهای جاوااسکریپت مخربی اجرا می‌شوند که پس از تحلیل مشخصات دستگاه بازدیدکننده، آسیب‌پذیری را فعال کرده و در نهایت بدافزار سرقت اطلاعات را مستقر می‌کنند. این زنجیره اکسپلویت از نوع Zero-click است و ترکیبی از CVE-2025-43529 (یک نقص RCE در WebKit) و CVE-2024-27834 (دور زدن PACs) برای اجرای کد جاوااسکریپت با هدف سرقت کوکی‌های مرورگر است.
به‌روزرسانی (نوامبر 5, 2026 — SecurityWeek)
به‌روزرسانی: گزارش‌های جدید از فعالیت‌های گروه Midnight Blizzard (APT29) نشان‌دهنده گسترش تاکتیک‌های آن‌ها به سمت حملات Watering Hole و زنجیره تأمین (Supply Chain) است. این گروه با هدف قرار دادن سرویس تحلیل وب Plerdy، کد مخرب خود را به فایل‌های ردیاب (Tracker) تزریق کرده که منجر به قرار گرفتن صدها وب‌سایت حساس، از جمله سایت‌های نظامی و تجهیزات دفاعی، در معرض خطر شده است.
علاوه بر این، مهاجمان با استفاده از روش Adversary-in-the-Middle (AiTM) و ثبت دامنه‌های مشابه (Lookalike Domains)، سایت‌های معتبری را در کشورهای اوکراین، ایالات متحده و بلغارستان هدف قرار داده‌اند. این حملات شامل جعل وب‌سایت‌های رسمی برای هدف قرار دادن دیپلمات‌ها و مقامات بلندپایه از طریق فیشینگ هدفمند (Spear-phishing) بوده است.
در بخش جدیدی از این کمپین، زنجیره اکسپلویت‌های (Exploit chains) جدیدی برای سیستم‌عامل اندروید شناسایی شده است. این زنجیره با بهره‌گیری از آسیب‌پذیری‌های CVE-2026-3910 در مرورگر Chrome و CVE-2025-27038 در تراشه‌های Qualcomm، بدافزار AndroSnitch را اجرا می‌کند. این Payload قادر است اطلاعات حساس از جمله کوکی‌ها، رمزهای عبور و تاریخچه مرورگر را از دستگاه‌های اندرویدی سرقت کند.
