Uma investigação da empresa de cibersegurança Sekoia revelou uma campanha de espionagem informática que utilizou vulnerabilidades no Google Chrome e nos controladores gráficos da Qualcomm para comprometer smartphones Android. O ataque podia ser executado através de uma página web infetada, sem necessidade de instalar aplicações ou conceder permissões adicionais.
Os investigadores associam a operação ao grupo APT29, frequentemente relacionado com os serviços de informações externos da Rússia. Os principais alvos terão sido pessoas ligadas à diplomacia e ao conflito na Ucrânia, embora a campanha tenha utilizado websites acessíveis ao público.
Duas falhas permitiam ultrapassar a segurança do Android
O ataque combinava duas vulnerabilidades distintas.
A primeira, identificada como CVE-2026-3910, afetava determinadas versões do Google Chrome e permitia executar código malicioso no navegador.
A segunda, CVE-2025-27038, encontrava-se nos controladores gráficos Adreno, utilizados em processadores Snapdragon da Qualcomm.
A combinação destas falhas permitia ultrapassar as proteções que normalmente impedem o navegador de aceder a áreas sensíveis do sistema operativo.
Depois de comprometer o dispositivo, os atacantes instalavam um programa malicioso identificado como AndroSnitch.
Este malware recolhia informações como palavras-passe guardadas, histórico de navegação, cookies de autenticação e configurações de redes Wi-Fi, incluindo as respetivas credenciais.
Os cookies representavam um alvo particularmente valioso, porque podem permitir o acesso a contas já autenticadas sem exigir novamente a palavra-passe.
A cadeia de exploração tinha como alvo versões do Chrome entre a 139 e a 145, com exceção da versão 143.
Websites legítimos foram utilizados para distribuir malware
A campanha não dependia exclusivamente de páginas fraudulentas criadas pelos atacantes.
Segundo a Sekoia, os responsáveis também comprometeram websites legítimos e introduziram código malicioso num serviço ucraniano de análise de tráfego utilizado por milhares de páginas.
Esta componente da operação esteve ativa entre 27 de agosto e 3 de setembro de 2026.
Quando um visitante acedia a uma das páginas afetadas, um script analisava as características do dispositivo para determinar qual a técnica de exploração mais adequada.
Os investigadores identificaram ainda um comportamento curioso: o código interrompia automaticamente o ataque quando detetava um Samsung Galaxy S25 Ultra. A razão desta exclusão permanece desconhecida.
A operação também procurou comprometer dispositivos Apple, recorrendo a outras vulnerabilidades específicas do iOS.
Atualizações já corrigiram as vulnerabilidades
Apesar da gravidade da campanha, as duas falhas utilizadas contra smartphones Android já receberam correções de segurança.
Os equipamentos com versões atualizadas do Chrome e com as atualizações de segurança relevantes instaladas estão protegidos contra esta cadeia de exploração conhecida.
É importante salientar que a investigação descreve uma campanha direcionada, não um ataque indiscriminado a todos os utilizadores Android.
Ainda assim, o caso demonstra como vulnerabilidades em componentes diferentes podem ser combinadas para contornar mecanismos de segurança considerados robustos.
A exploração de uma falha no navegador, seguida de outra no controlador gráfico, também ilustra a importância de manter atualizadas tanto as aplicações como o próprio sistema operativo.
Para reduzir a exposição a ataques semelhantes, a recomendação passa por instalar regularmente as atualizações disponibilizadas pelos fabricantes, utilizar versões recentes dos navegadores e evitar dispositivos que já não recebem correções de segurança.
Outros artigos interessantes:
