Пользователей Android предупреждают: Google Chrome может сделать вас уязвимыми для хакеров

Если вы пользуетесь Chrome на телефоне Android, вам нужно быть очень осторожными.

Исследователи в области безопасности из компании Sekoia предупреждают об опасной хакерской кампании, нацеленной на пользователей Android через веб-браузер по умолчанию. Злоумышленники используют две уязвимости в системе безопасности, одна из которых обнаружена в приложении Google Chrome. Несмотря на то, что Google официально устранила эти уязвимости, те, кто еще не обновил приложение, по-прежнему находятся в зоне риска.

Вторая уязвимость кроется в графическом драйвере Android телефонов, оснащенных процессором Qualcomm. Qualcomm — второй по величине поставщик чипов для Android-смартфонов, поэтому считается, что проблема затрагивает миллионы пользователей.

Видео от DGL.RU

Ситуация становится по-настоящему опасной, когда пользователь заходит на взломанный сайт в браузере Chrome, который не был обновлен. Вредоносный код может быть загружен незаметно для пользователя, даже без необходимости нажимать на что-либо. Это происходит полностью автоматически.

Затем вредоносная программа AndroSnitch осуществляет атаку. Она копирует пользовательские данные, пароли и другую информацию, чтобы отправить их напрямую хакерам. Это позволяет им красть данные для входа в систему и захватывать учетные записи или даже проводить целевые фишинговые атаки.

Все версии Chrome до версии 145 потенциально уязвимы (кроме версии 143). Текущая версия — 157. Активные атаки наблюдались в основном в августе, сентябре и октябре. Злоумышленники создавали поддельные версии официальных сайтов, связанных с различными компаниями или государственными структурами.

Как обезопасить себя от вредоносного ПО Chrome

Самое важное — обновить браузер Chrome на вашем Android-устройстве, если вы еще не сделали этого. Для этого зайдите в Google Play Store, найдите Chrome и обновите приложение. Не переходите по неизвестным ссылкам, которые могут вести на взломанные сайты.

Также рекомендуется обновить свой Android-смартфон или проверить наличие последних обновлений в разделе «О телефоне» или «Версия Android». В отчете не указано, предоставила ли компания Google подходящее исправление для уязвимости Qualcomm. Однако это поможет вам обезопасить себя.

Интересно, что один телефон, похоже, защищен от этой атаки: Samsung Galaxy S25 Ultra. Исследователи не объясняют, почему так происходит. Однако вредоносное ПО, судя по всему, проверяет номер устройства и в данном случае «щадит» пользователя.

Что на самом деле происходит с Android-смартфонами

Главная опасность этой кампании заключается не просто в краже паролей через поддельные сайты. Злоумышленники использовали связку из двух уже известных уязвимостей, чтобы сначала получить выполнение кода внутри Chrome, а затем выйти за пределы изолированной среды браузера через графический драйвер Qualcomm. Исследователи обнаружили, что атака затрагивала не все Android-устройства подряд, а определенные сочетания версий браузера и аппаратной платформы. При этом первоначальный материал преувеличивает некоторые последствия и неточно описывает объем похищаемых данных.

Две уязвимости работают как единая цепочка

Атака опиралась на уязвимость CVE-2026-3910 в Google Chrome и CVE-2025-27038 в графическом драйвере Qualcomm Adreno. Первая позволяла выполнить вредоносный код в процессе браузера, а вторая помогала обойти его защитную песочницу и получить более широкие возможности доступа к устройству. Именно сочетание этих ошибок делало заражение особенно опасным: одной уязвимости было недостаточно для всей цепочки действий. Обе проблемы уже получили исправления, поэтому обновление браузера и системных компонентов остается главным способом защиты.

AndroSnitch охотится не за всеми файлами телефона

Вредоносная программа AndroSnitch собирает прежде всего данные Chrome: файлы cookie, сохраненные учетные данные и историю посещений. Кроме того, она получает файл с настройками Wi-Fi, в котором могут храниться пароли от беспроводных сетей. Это важное уточнение: речь не идет о доказанной возможности автоматически скопировать абсолютно все фотографии, сообщения и документы со смартфона. Украденные файлы cookie особенно опасны, поскольку в некоторых случаях позволяют получить доступ к уже авторизованным учетным записям без повторного ввода пароля.

Исключение для Galaxy S25 Ultra не означает полной защиты

Исследователи обнаружили в коде проверки устройства условие, при котором атака прекращается, если система распознает Samsung Galaxy S25 Ultra с идентификатором SM-S938B. Причина такого исключения пока неизвестна. Это не доказывает, что смартфон обладает универсальной защитой от подобных атак или что другие модели Samsung обязательно уязвимы. Скорее, речь идет о целенаправленном ограничении конкретной вредоносной цепочки, которое могло быть связано с особенностями тестирования, настройками эксплойта или выбором целей.

Как распространялась зараженная страница

Для атаки преступникам не требовалось убеждать человека установить неизвестное приложение или выдать разрешение на доступ к файлам. Достаточно было, чтобы владелец подходящего устройства открыл страницу с внедренным вредоносным сценарием. Заражение могло произойти на сайте, который пользователь давно знает и считает надежным. Поэтому привычка проверять только адрес сайта уже не гарантировала безопасность.

Под ударом оказались не только поддельные ресурсы

Злоумышленники использовали несколько способов доставки вредоносного кода. Они внедряли сценарии в настоящие сайты, создавали копии популярных ресурсов и атаковали сторонний сервис веб аналитики Plerdy. Последний вариант особенно неприятен для владельцев сайтов: вредоносный код мог попасть к посетителям через подключенный аналитический скрипт, хотя сам сайт не подвергался прямому взлому. В течение недели с конца августа до начала сентября 2026 года измененный скрипт загружался на тысячах сайтов, преимущественно украинских.

Телефон проверяли до начала атаки

Перед отправкой эксплойта сервер собирал сведения о браузере и устройстве посетителя. Такая проверка помогала определить операционную систему, версию Chrome и аппаратную платформу, а затем выбрать подходящую цепочку атаки. Если устройство не соответствовало нужным условиям, вредоносный код не запускался. Это объясняет, почему два человека могли открыть одну и ту же страницу, но столкнуться с разными последствиями.

Масштаб заражения пока неизвестен

Тысячи сайтов, на которых появился измененный аналитический скрипт, не означают тысячи зараженных смартфонов. Для успешной атаки требовалось совпадение нескольких условий, включая уязвимую версию браузера и подходящий графический драйвер. Исследователи не назвали точное число устройств, на которых злоумышленники действительно выполнили вредоносный код. Поэтому заявления о массовой краже данных у миллионов владельцев Android пока не подтверждены.

Что говорят специалисты и пользователи

Эксперты рассматривают эту историю как пример перехода от обычного фишинга к более сложным атакам через браузер и цепочки поставок программных компонентов. Главная особенность здесь заключается в том, что пользователь мог не совершать очевидной ошибки: не вводить пароль на подозрительной странице и не скачивать сомнительный файл. Для обычных владельцев смартфонов это еще один повод внимательнее относиться к обновлениям и защите учетных записей.

Эксперты указывают на государственный уровень угрозы

Исследователи связывают кампанию с группировкой APT29, которую также называют Cozy Bear и Midnight Blizzard. Такая атрибуция основана на сходстве технических приемов, инфраструктуры и характера целей с предыдущими операциями. Уверенность исследователей в этой версии оценивается как умеренная или высокая, однако это экспертный вывод, а не официально установленная ответственность конкретного государства. Среди возможных мотивов специалисты выделяют сбор разведывательной информации и получение доступа к учетным записям людей, связанных с государственными и оборонными структурами.

Главная тревога связана с кражей активных сеансов

Специалисты по безопасности обращают особое внимание на файлы cookie. Они могут хранить сведения об авторизации, благодаря которым браузер сохраняет вход в почту, облачные сервисы и другие учетные записи. Если злоумышленник получает такие данные, одного изменения пароля иногда недостаточно: активные сеансы могут продолжить действовать до их принудительного завершения. Поэтому после подозрения на заражение важно завершить сеансы в важных сервисах и проверить список устройств, которым разрешен доступ.

Обычный пользователь не всегда замечает атаку

В отличие от классического фишинга, здесь нет обязательного окна с просьбой ввести пароль или установить приложение. Страница может выглядеть совершенно обычно, а браузер не обязан показывать предупреждение о происходящем. Это усложняет самостоятельное обнаружение заражения и делает профилактику важнее попыток распознать вредоносный сайт по внешнему виду. В открытых материалах нет подтвержденных отзывов большого числа пострадавших владельцев смартфонов, поэтому нельзя утверждать, что пользователи массово сообщают о конкретных симптомах этой кампании.

Сильные и слабые стороны защитных мер

У этой истории есть важное отличие от многих атак с использованием неизвестных уязвимостей: примененные ошибки уже были исправлены производителями. Это означает, что обновление способно закрыть именно тот путь проникновения, который использовали злоумышленники. Однако защита зависит не только от браузера, но и от состояния системных компонентов смартфона. Установка одного обновления не всегда решает проблему полностью.

Обновленный Chrome закрывает первый этап

Google выпустила исправление для уязвимости браузера в ветке Chrome 146. В ноябре 2026 года компания уже распространяла Chrome 157 для Android. Установка актуальной версии закрывает известный путь первоначального выполнения вредоносного кода через браузер. При этом важно проверять именно установленную версию, а не ориентироваться на дату последнего обновления или внешний вид значка приложения.

Системные исправления защищают графическую подсистему

Вторая часть атаки использовала ошибку в драйвере Qualcomm Adreno. Исправление такого компонента обычно приходит не как отдельное обновление Chrome, а в составе обновления безопасности Android от производителя смартфона. Поэтому даже актуальный браузер не заменяет проверку системных обновлений. Если производитель давно не выпускает исправления для конкретной модели, риск сохраняется для других уязвимостей, даже если описанная кампания уже не может использовать старую версию Chrome.

Перезагрузка не возвращает украденные данные

Вредоносный код из этой кампании не создавал постоянного механизма запуска после перезагрузки устройства. Это ограничивает его возможности и отличает атаку от некоторых видов шпионского ПО. Однако отсутствие постоянного присутствия не отменяет уже состоявшуюся кражу файлов и паролей. Перезапуск не возвращает украденные cookie и не отзывает доступ злоумышленника к учетным записям, поэтому он не может заменить обновление системы и проверку аккаунтов.

Особенности защиты в России

Для российских владельцев Android основная проблема заключается не в особом способе распространения AndroSnitch, а в неодинаковой скорости выпуска системных исправлений. Chrome обновляется отдельно от прошивки смартфона, поэтому браузер может быть актуальным, а драйверы и другие компоненты системы все еще оставаться уязвимыми. Особенно внимательно стоит относиться к устройствам, которые давно не получают обновления безопасности. При этом сама кампания не была ограничена российским рынком.

Обновление браузера не зависит от марки телефона

Chrome можно обновить через Google Play, если магазин доступен на устройстве и получает соединение с серверами Google. Если автоматическое обновление не сработало, стоит открыть страницу приложения в магазине и проверить наличие новой версии вручную. Не следует скачивать установочные файлы с неизвестных сайтов и из случайных каналов: под видом обновления браузера злоумышленники могут распространять собственные вредоносные приложения. Проверять версию нужно в настройках самого Chrome.

Срок поддержки важнее известности бренда

У разных производителей Android различаются сроки поддержки смартфонов и график выпуска исправлений. Некоторые модели получают обновления безопасности регулярно, другие могут месяцами оставаться на старом уровне защиты. Владельцам устройств на процессорах Qualcomm стоит проверить дату последнего системного обновления и наличие новых версий прошивки. Если производитель прекратил поддержку модели, замена устройства со временем становится более надежным решением, чем постоянная установка сторонних средств защиты.

Российские ограничения не отменяют базовую защиту

Доступность Google Play и скорость загрузки обновлений могут зависеть от сети, региона и конкретного устройства. Но сама установка бесплатного обновления Chrome не требует покупки подписки или отдельной лицензии. Если магазин не предлагает свежую версию, лучше проверить наличие обновления позже или воспользоваться официальным каналом производителя смартфона. Использовать неофициальные сборки браузера ради получения новой версии не стоит: они могут содержать измененный код и создавать дополнительные риски.

Неожиданный эффект для всей веб индустрии

Эта кампания показывает, что даже надежный сайт может стать каналом заражения из-за стороннего сервиса, который подключен для аналитики или рекламы. Пользователь доверяет знакомому адресу, но не знает, какие дополнительные сценарии загружаются в фоне. Для владельцев сайтов это повод пересмотреть не только защиту собственного сервера, но и список внешних компонентов. Для производителей смартфонов история поднимает вопрос о том, насколько быстро можно закрывать уязвимости в драйверах и других низкоуровневых элементах.

Аналитический скрипт превращается в точку входа

Сторонние счетчики посещаемости, рекламные модули и инструменты аналитики часто получают доступ к страницам множества сайтов одновременно. Если злоумышленник меняет такой компонент, вредоносный код может распространиться далеко за пределы первоначально взломанного ресурса. Это напоминает атаку на цепочку поставок программного обеспечения, только конечной целью становятся не серверы компаний, а смартфоны посетителей. Владельцам сайтов стоит ограничивать число внешних скриптов и контролировать изменения в подключенных компонентах.

Смартфон становится инструментом разведки

Кража браузерных сеансов может открыть доступ не только к личной почте, но и к рабочим панелям, корпоративным сервисам и документам. Если человек использует один телефон для личных и служебных задач, компрометация браузера способна затронуть сразу несколько сфер. Для организаций это аргумент в пользу отдельных рабочих профилей, многофакторной аутентификации и контроля активных сеансов. Даже если злоумышленник получает пароль или cookie, дополнительные ограничения могут затруднить дальнейшее проникновение.

Проверка внешних сервисов становится обязательной

Компании обычно уделяют больше внимания защите собственных серверов, чем безопасности небольших сторонних компонентов. Между тем один аналитический скрипт может присутствовать на большом количестве ресурсов и стать общей точкой риска. Регулярная проверка подключенных библиотек, ограничение разрешений и контроль изменений помогают уменьшить вероятность подобной ситуации. Для крупных организаций управление внешними зависимостями должно стать частью общей политики информационной безопасности.

Кому стоит особенно внимательно отнестись к угрозе

Риск зависит не столько от популярности конкретного смартфона, сколько от версии браузера, состояния системных компонентов и характера интернет активности владельца. Наибольший интерес для подобных операций представляют люди, чьи учетные записи дают доступ к служебной переписке, внутренним документам и закрытым информационным системам. Однако техническая возможность заражения не означает, что каждый владелец старого Android уже стал целью. Важно отличать потенциальную уязвимость от подтвержденного инцидента.

В первую очередь стоит защитить рабочие учетные записи

Особое внимание нужно уделить сотрудникам государственных организаций, журналистам, дипломатам, военным специалистам и работникам компаний с важной внутренней информацией. Для них кража браузерных cookie может оказаться не менее опасной, чем получение пароля. Рабочие аккаунты лучше использовать в отдельном профиле, а доступ к ним защищать многофакторной аутентификацией. При подозрении на компрометацию следует завершить активные сеансы и сообщить об инциденте ответственным за безопасность.

Владельцам старых смартфонов нельзя откладывать проверку

Пользователи устройств с устаревшими версиями Android и Chrome должны проверить обновления в первую очередь. Особое значение имеет не только версия браузера, но и дата последнего патча безопасности системы. Если смартфон не получает исправления от производителя, установка антивирусного приложения не гарантирует защиту от эксплойта, который использует ошибку в драйвере. В таком случае разумнее ограничить использование устройства для важных учетных записей и рассмотреть переход на модель с действующей поддержкой.

Для большинства пользователей достаточно базовой дисциплины

Тем, кто использует актуальный смартфон, своевременно обновляет Chrome и устанавливает системные исправления, не нужно паниковать из-за этой новости. Обычная осторожность с подозрительными страницами остается полезной, но теперь важно помнить, что даже знакомый сайт может оказаться временно скомпрометированным. Не стоит считать отсутствие странных уведомлений доказательством безопасности: подобные атаки могут проходить незаметно. Регулярные обновления и защита учетных записей дают гораздо больше пользы, чем попытки самостоятельно определить заражение по поведению телефона.

Реальная цена беспечности

Кампания AndroSnitch показывает, что браузер на смартфоне стал полноценной целью для сложных шпионских операций. Уязвимости в Chrome и драйвере Qualcomm позволили атакующим обойти несколько уровней защиты, а зараженные сайты обеспечили доступ к потенциальным жертвам без очевидных действий с их стороны. При этом речь не идет о новой угрозе, от которой невозможно защититься: примененные ошибки уже исправлены. Главный вопрос заключается в том, насколько быстро пользователи и производители устройств устанавливают эти исправления.

Громкие заявления требуют уточнений

Историю не стоит трактовать как доказательство того, что все Android-смартфоны с Qualcomm находятся под угрозой или что AndroSnitch способен похитить любые данные с устройства. Исследователи описали конкретную цепочку атаки, ограниченный диапазон версий Chrome и определенный набор файлов, которые собирает вредоносная программа. Неизвестно и точное количество успешно зараженных телефонов. Эти ограничения не делают угрозу менее серьезной, но помогают оценить ее без лишней паники.

Исправления уже существуют

Google выпустила обновленную версию Chrome с исправлением ошибки браузера, а Qualcomm подготовила исправление для графического драйвера, которое распространяется через системные обновления производителей смартфонов. В ноябре 2026 года для Android уже доступен Chrome 157. Владельцам телефонов важно установить актуальный браузер и проверить системные обновления, поскольку защита зависит от обоих компонентов. Если есть основания подозревать заражение, дополнительно стоит сменить пароли важных учетных записей, завершить активные сеансы и проверить историю входов.

Угроза заслуживает внимания, но не паники

AndroSnitch представляет собой серьезный пример того, как уязвимости браузера и аппаратных компонентов могут превратить обычный просмотр сайта в риск для личных данных. Особенно опасна такая схема для людей с доступом к конфиденциальной рабочей информации. Для большинства владельцев современных Android-смартфонов своевременные обновления существенно снижают риск именно этой атаки. Главный вывод прост: безопасность телефона зависит не только от осторожности пользователя, но и от регулярной поддержки устройства со стороны производителя.

Google Chrome получил умный режим: ссылки открываются рядом с чатом

Читайте также Лучшие телефоны Xiaomi в 2026 году: полный разбор топовых моделей Xiaomi и Poco