Злоумышленники использовали три вектора заражения для компрометации устройств. В их число вошли прямая инъекция JavaScript в трафик, использование прокси-доменов, таких как america250.holiday, и атака на цепочку поставок через украинский сервис веб-аналитики. Внедренный код собирал данные о браузере и устройстве пользователя для активации цепочек эксплойтов.
Специалисты Sekoia зафиксировали применение трех цепочек эксплойтов, работающих без участия пользователя. Одна из них — DarkSword для iOS, ранее связанная с турецким поставщиком ПО для слежки PARS Defense. Две другие цепочки не получили названий. Все использованные уязвимости были типа n-day, поэтому атаки срабатывали только на устаревших версиях iOS и Android.
Хакеры атаковали высокопоставленных лиц, имитируя сайты america250.org и отеля Raffles London at The OWO, расположенного рядом с Министерством обороны Великобритании и резиденцией премьер-министра. Также была скомпрометирована украинская газодобывающая компания. Атаки могли быть нацелены на дипломатические делегации и гостей отеля через фишинг.
Компания Sekoia связывает кампанию с Кремлем, основываясь на профилях целей и сходстве с операциями группы APT29. Исследователи полагают, что выбор ресурсов был обусловлен их связью с национальными событиями и визитами официальных лиц, что использовалось как предлог для проведения целевых фишинговых кампаний.
