Кратко и по делу
Уязвимости в браузере и драйвере Qualcomm представляют опасность для пользователей Android. Вредоносное ПО AndroSnitch автоматически крадет пароли и данные при посещении веб-сайтов. Версии браузера до 145 подвержены риску, атаки были зафиксированы осенью. Основная мера защиты — немедленное обновление браузера через официальный магазин.
Если вы используете Chrome на Android, следует быть особенно внимательными.
Специалисты по безопасности из компании Sekoia предупреждают о серьезной хакерской кампании, нацеленной на пользователей Android через стандартный веб-браузер. Злоумышленники используют две уязвимости в системе безопасности, одна из которых находится в приложении Google Chrome. Несмотря на то, что Google официально устранила эти уязвимости, пользователи, не обновившие приложение, все еще подвержены риску.
Вторая уязвимость связана с графическим драйвером Android-смартфонов на базе процессоров Qualcomm. Qualcomm является вторым по величине поставщиком чипов для Android-устройств, и, следовательно, проблема затрагивает миллионы пользователей.
Ситуация становится особенно опасной, когда пользователь заходит на скомпрометированный сайт в устаревшем браузере Chrome. Вредоносный код может загружаться незаметно, без необходимости взаимодействия с пользователем. Это происходит полностью автоматически.
После этого вредоносная программа AndroSnitch начинает атаку, копируя пользовательские данные, пароли и другую информацию, чтобы передать их злоумышленникам. Это позволяет им красть учетные данные и захватывать аккаунты или даже проводить целевые фишинговые атаки.
Все версии Chrome до версии 145, за исключением 143, могут быть уязвимы. Текущая версия составляет 157. Активные атаки наблюдались в основном в августе, сентябре и октябре, когда злоумышленники создавали поддельные версии официальных сайтов, связанных с различными организациями или государственными учреждениями.
Как обезопасить себя от вредоносного ПО Chrome
Прежде всего, обновите браузер Chrome на вашем Android-устройстве, если вы этого еще не сделали. Для этого зайдите в Google Play Store, найдите Chrome и обновите приложение. Избегайте перехода по неизвестным ссылкам, которые могут вести на скомпрометированные сайты.
Также рекомендуется обновить ваш Android-смартфон или проверить наличие последних обновлений в разделе «О телефоне» или «Версия Android». В отчете не указано, предоставила ли Google соответствующие исправления для уязвимости Qualcomm, но это также поможет повысить вашу безопасность.
Интересно, что один смартфон, кажется, защищен от этой атаки: Samsung Galaxy S25 Ultra. Исследователи не объясняют, почему так происходит, однако вредоносное ПО, похоже, проверяет номер устройства и в этом случае «щадит» пользователя.
Что на самом деле происходит с Android-смартфонами
Основная угроза данной кампании заключается не только в краже паролей через поддельные сайты. Злоумышленники использовали комбинацию из двух известных уязвимостей, чтобы сначала выполнить код внутри Chrome, а затем выйти за пределы изолированной среды браузера через графический драйвер Qualcomm. Исследователи заметили, что атака затрагивала не все Android-устройства, а определенные сочетания версий браузера и аппаратной платформы. При этом первоначальный материал иногда преувеличивает последствия и неточно описывает объем похищаемых данных.
Две уязвимости работают как единая цепочка
Атака основывалась на уязвимости CVE-2026-3910 в Google Chrome и CVE-2025-27038 в графическом драйвере Qualcomm Adreno. Первая позволяла выполнить вредоносный код в процессе браузера, а вторая помогала обойти его защитную песочницу и получить более широкий доступ к устройству. Именно сочетание этих ошибок делало заражение особенно опасным: одной уязвимости было недостаточно для всей цепочки действий. Обе проблемы уже получили исправления, поэтому обновление браузера и системных компонентов остается ключевым способом защиты.
AndroSnitch охотится не за всеми файлами телефона
Вредоносное ПО AndroSnitch собирает в первую очередь данные из Chrome: файлы cookie, сохраненные учетные данные и историю посещений. Кроме того, она получает файл с настройками Wi-Fi, в котором могут храниться пароли от беспроводных сетей. Это важное уточнение: речь не идет о возможности автоматически скопировать все фотографии, сообщения и документы со смартфона. Украденные файлы cookie особенно опасны, так как в некоторых случаях позволяют получить доступ к уже авторизованным учетным записям без повторного ввода пароля.
Исключение для Galaxy S25 Ultra не означает полной защиты
Исследователи заметили в коде проверки устройства условие, при котором атака прекращается, если система распознает Samsung Galaxy S25 Ultra с идентификатором SM-S938B. Причина такого исключения пока неизвестна. Это не означает, что смартфон обладает универсальной защитой от подобных атак или что другие модели Samsung обязательно уязвимы. Скорее, речь идет о целенаправленном ограничении конкретной вредоносной цепочки, которое могло быть связано с особенностями тестирования, настройками эксплойта или выбором целей.
Как распространялась зараженная страница
Для атаки злоумышленникам не нужно было убеждать пользователя установить неизвестное приложение или предоставить разрешение на доступ к файлам. Достаточно было, чтобы владелец подходящего устройства открыл страницу с внедренным вредоносным сценарием. Вредоносное ПО могло попасть на сайт, который пользователь давно знает и считает надежным. Поэтому привычка проверять только адрес сайта уже не гарантировала безопасность.
Под ударом оказались не только поддельные ресурсы
Злоумышленники применяли несколько способов доставки вредоносного кода. Они внедряли сценарии в реальные сайты, создавали копии популярных ресурсов и атаковали сторонний сервис веб-аналитики Plerdy. Последний вариант особенно досаден для владельцев сайтов: вредоносный код мог попасть к посетителям через подключенный аналитический скрипт, хотя сам сайт не подвергался прямому взлому. В течение недели с конца августа до начала сентября 2026 года измененный скрипт загружался на тысячах сайтов, преимущественно украинских.
Телефон проверяли до начала атаки
Перед отправкой эксплойта сервер собирал информацию о браузере и устройстве посетителя. Такая проверка помогала определить операционную систему, версию Chrome и аппаратную платформу, а затем выбрать подходящую цепочку атаки. Если устройство не соответствовало необходимым условиям, вредоносный код не запускался. Это объясняет, почему два человека могли открыть одну и ту же страницу, но столкнуться с различными последствиями.
Масштаб заражения пока неизвестен
Тысячи сайтов, на которых появился измененный аналитический скрипт, не означают тысячи зараженных смартфонов. Для успешной атаки требовалось совпадение нескольких условий, включая уязвимую версию браузера и подходящий графический драйвер. Исследователи не назвали точное число устройств, на которых злоумышленники действительно выполнили вредоносный код. Поэтому заявления о массовой краже данных у миллионов владельцев Android пока не подтверждены.
Что говорят специалисты и пользователи
Эксперты рассматривают эту историю как пример перехода от обычного фишинга к более сложным атакам через браузер и цепочки поставок программного обеспечения. Главная особенность заключается в том, что пользователь не совершал очевидной ошибки: не вводил пароль на подозрительной странице и не загружал сомнительный файл. Для обычных пользователей это еще один повод быть внимательными к обновлениям и защите учетных записей.
Эксперты указывают на государственный уровень угрозы
Исследователи связывают кампанию с группировкой APT29, также известной как Cozy Bear и Midnight Blizzard. Такая атрибуция основана на сходстве технических приемов, инфраструктуры и характера целей с предыдущими операциями. Уверенность исследователей в этой версии оценивается как умеренная или высокая, однако это экспертный вывод, а не официальная ответственность конкретного государства. Среди возможных мотивов специалисты выделяют сбор разведывательной информации и получение доступа к учетным записям людей, связанных с государственными и оборонными структурами.
Главная тревога связана с кражей активных сеансов
Специалисты по безопасности обращают особое внимание на файлы cookie. Они могут хранить данные об авторизации, благодаря которым браузер сохраняет вход в почту, облачные сервисы и другие учетные записи. Если злоумышленник получает такие данные, одного изменения пароля иногда недостаточно: активные сеансы могут продолжать действовать до их принудительного завершения. Поэтому после подозрения на заражение важно завершить сеансы в важных сервисах и проверить список устройств с разрешенным доступом.
Обычный пользователь не всегда замечает атаку
В отличие от классического фишинга, здесь нет обязательного окна с просьбой ввести пароль или установить приложение. Страница может выглядеть совершенно обычно, а браузер не обязан показывать предупреждение о происходящем. Это усложняет самостоятельное обнаружение заражения и делает профилактику важнее, чем попытки распознать вредоносный сайт по внешнему виду. В открытых материалах нет подтвержденных отзывов большого числа пострадавших владельцев смартфонов, поэтому нельзя утверждать, что пользователи массово сообщают о конкретных симптомах этой кампании.
Сильные и слабые стороны защитных мер
Эта ситуация имеет важное отличие от многих атак с использованием неизвестных уязвимостей: использованные ошибки уже были исправлены производителями. Это означает, что обновление может закрыть именно тот путь проникновения, который использовали злоумышленники. Однако защита зависит не только от браузера, но и от состояния системных компонентов смартфона. Установка одного обновления не всегда решает проблему полностью.
Обновленный Chrome закрывает первый этап
Google выпустила исправление для уязвимости браузера в ветке Chrome 146. В ноябре 2026 года компания уже распространяла Chrome 157 для Android. Установка актуальной версии закрывает известный путь первоначального выполнения вредоносного кода через браузер. При этом важно проверять именно установленную версию, а не ориентироваться на дату последнего обновления или внешний вид значка приложения.
Системные исправления защищают графическую подсистему
Вторая часть атаки использовала ошибку в драйвере Qualcomm Adreno. Исправление такого компонента обычно приходит не как отдельное обновление Chrome, а в составе обновления безопасности Android от производителя смартфона. Поэтому даже актуальный браузер не заменяет проверку системных обновлений. Если производитель давно не выпускает исправления для конкретной модели, риск сохраняется для других уязвимостей, даже если описанная кампания уже не может использовать старую версию Chrome.
Перезагрузка не возвращает украденные данные
Вредоносный код из этой кампании не создавал постоянного механизма запуска после перезагрузки устройства. Это ограничивает его возможности и отличает атаку от некоторых видов шпионского ПО. Однако отсутствие постоянного присутствия не отменяет уже состоявшуюся кражу файлов и паролей. Перезагрузка не возвращает украденные cookie и не отзывает доступ злоумышленника к учетным записям, поэтому она не может заменить обновление системы и проверку аккаунтов.
Особенности защиты в России
Для российских владельцев Android основная проблема заключается не в особом способе распространения AndroSnitch, а в неодинаковой скорости выпуска системных исправлений. Chrome обновляется отдельно от прошивки смартфона, поэтому браузер может быть актуальным, а драйверы и другие компоненты системы все еще оставаться уязвимыми. Особенно внимательно стоит относиться к устройствам, которые давно не получают обновления безопасности. При этом сама кампания не была ограничена российским рынком.
Обновление браузера не зависит от марки телефона
Chrome можно обновить через Google Play, если магазин доступен на устройстве и получает соединение с серверами Google. Если автоматическое обновление не сработало, стоит открыть страницу приложения в магазине и проверить наличие новой версии вручную. Не скачивайте установочные файлы с неизвестных сайтов и из случайных каналов: под видом обновления браузера злоумышленники могут распространять свои вредоносные приложения. Проверяйте версию в настройках самого Chrome.
Срок поддержки важнее известности бренда
У разных производителей Android различаются сроки поддержки смартфонов и график выпуска исправлений. Некоторые модели получают обновления безопасности регулярно, другие могут месяцами оставаться на старом уровне защиты. Владельцам устройств на процессорах Qualcomm стоит проверить дату последнего системного обновления и наличие новых версий прошивки. Если производитель прекратил поддержку модели, замена устройства со временем становится более надежным решением, чем постоянная установка сторонних средств защиты.
Российские ограничения не отменяют базовую защиту
Доступность Google Play и скорость загрузки обновлений могут зависеть от сети, региона и конкретного устройства. Однако установка бесплатного обновления Chrome не требует покупки подписки или отдельной лицензии. Если магазин не предлагает свежую версию, лучше проверить наличие обновления позже или воспользоваться официальным каналом производителя смартфона. Использование неофициальных сборок браузера ради получения новой версии не стоит: они могут содержать измененный код и создавать дополнительные риски.
Неожиданный эффект для всей веб индустрии
Эта кампания показывает, что даже надежный сайт может стать каналом заражения из-за стороннего сервиса, подключенного для аналитики или рекламы. Пользователь доверяет знакомому адресу, но не знает, какие дополнительные сценарии загружаются в фоне. Для владельцев сайтов это повод пересмотреть не только защиту собственного сервера, но и список внешних компонентов. Для производителей смартфонов история поднимает вопрос о том, насколько быстро можно закрывать уязвимости в драйверах и других низкоуровневых элементах.
Аналитический скрипт превращается в точку входа
Сторонние счетчики посещаемости, рекламные модули и инструменты аналитики часто получают доступ к страницам множества сайтов одновременно. Если злоумышленник меняет такой компонент, вредоносный код может распространиться далеко за пределы первоначально взломанного ресурса. Это похоже на атаку на цепочку поставок программного обеспечения, только конечной целью становятся не серверы компаний, а смартфоны посетителей. Владельцам сайтов стоит ограничивать число внешних скриптов и контролировать изменения в подключенных компонентах.
Кому стоит особенно внимательно отнестись к угрозе
Риск зависит не столько от популярности конкретного смартфона, сколько от версии браузера, состояния системных компонентов и характера интернет-активности владельца. Наибольший интерес для подобных операций представляют люди, чьи учетные записи дают доступ к служебной переписке, внутренним документам и закрытым информационным системам. Однако техническая возможность заражения не означает, что каждый владелец старого Android стал целью. Важно отличать потенциальную уязвимость от подтвержденного инцидента.
В первую очередь стоит защитить рабочие учетные записи
Особое внимание следует уделить сотрудникам государственных организаций, журналистам, дипломатам, военным специалистам и работникам компаний с важной внутренней информацией. Для них кража браузерных cookie может оказаться не менее опасной, чем получение пароля. Рабочие аккаунты лучше использовать в отдельном профиле, а доступ к ним защищать многофакторной аутентификацией. При подозрении на компрометацию следует завершить активные сеансы и сообщить об инциденте ответственным за безопасность.
Владельцам старых смартфонов нельзя откладывать проверку
Пользователи устройств с устаревшими версиями Android и Chrome должны проверить обновления в первую очередь. Особое значение имеет не только версия браузера, но и дата последнего патча безопасности системы. Если смартфон не получает исправления от производителя, установка антивирусного приложения не гарантирует защиту от эксплойта, использующего ошибку в драйвере. В таком случае разумнее ограничить использование устройства для важных учетных записей и рассмотреть переход на модель с действующей поддержкой.
Для большинства пользователей достаточно базовой дисциплины
Тем, кто использует актуальный смартфон, своевременно обновляет Chrome и устанавливает системные исправления, не следует паниковать из-за этой новости. Обычная осторожность с подозрительными страницами остается полезной, но важно помнить, что даже знакомый сайт может оказаться временно скомпрометированным. Не стоит считать отсутствие странных уведомлений доказательством безопасности: подобные атаки могут проходить незаметно. Регулярные обновления и защита учетных записей дают гораздо больше пользы, чем попытки самостоятельно определить заражение по поведению телефона.
Реальная цена беспечности
Кампания AndroSnitch показывает, что браузер на смартфоне стал полноценной целью для сложных шпионских операций. Уязвимости в Chrome и драйвере Qualcomm позволили атакующим обойти несколько уровней защиты, а зараженные сайты обеспечили доступ к потенциальным жертвам без очевидных действий с их стороны. При этом речь не идет о новой угрозе, от которой невозможно защититься: примененные ошибки уже исправлены. Главный вопрос заключается в том, насколько быстро пользователи и производители устройств устанавливают эти исправления.
Громкие заявления требуют уточнений