مهاجمون مرتبطون بـAPT29 يستخدمون سكربت تحليلات مختطفاً لاستهداف iOS وAndroid

يُقال إن فاعلاً تهديدياً مرتبطاً بـAPT29 يقف وراء حملة "watering hole" واسعة النطاق تستهدف مستخدمي iOS وAndroid عبر مواقع مخترقة ونطاقات مزيفة وهجوم على سلسلة التوريد استهدف خدمة تحليلات الويب الأوكرانية Plerdy SEO Tracker. وقال الباحثان في Sekoia، Amaury-Jacques Garçon وFélix Aime، إن JavaScript المحقون يجمع سمات المتصفح والجهاز، ثم تقدم البنية التحتية سلسلة استغلال N-day خاصة بكل منصة. واكتُشفت الحملة، التي تحمل الاسم الرمزي Poisoned Source، في منتصف أكتوبر 2026، وتهدف إلى تقديم حمولات تسرق ملفات تعريف الارتباط في المتصفح، وفي بعض الحالات كلمات مرور Wi-Fi أو بيانات الجهاز المحمول كاملة.

مسارات الإصابة

حددت Sekoia ثلاثة مسارات للإصابة: اختراق مواقع مشروعة لحقن JavaScript خبيث؛ ومواقع مماثلة تنتحل صفة مواقع بارزة في الولايات المتحدة وأوكرانيا وجمهورية التشيك وبلغاريا، ومنها america250[.]holiday؛ واختراق سلسلة توريد Plerdy SEO Tracker بين 27 أغسطس و3 سبتمبر 2026، عبر حقن كود خبيث في a.plerdy[.]com/public/js/click/main.js.

من بين المواقع المخترقة جمعية تجارية صناعية كبرى تمثل شركات أمريكية في صناعة الكيماويات، وحزب سياسي أوروبي من أقصى اليمين، وموقع بلغاري مرتبط بالشؤون العسكرية. وقالت Sekoia إنه لا يزال من غير الواضح ما إذا كان المهاجمون ينوون استهداف زوار مواقع محددة أم يسعون إلى اختراق أكبر عدد ممكن من الأجهزة المحمولة غير المحدّثة. وأشار الباحثون إلى أن عدة مواقع من المرجح أن تجذب زواراً ذوي قيمة عالية أو أهمية استراتيجية في سياق الحرب بين روسيا وأوكرانيا، وأن هجوم سلسلة التوريد امتد إلى أهداف عالية القيمة مثل مواقع الجيش والقوات الخاصة والمعدات العسكرية.

سلاسل الاستغلال

تؤدي جميع الطرق إلى محمّل JavaScript يحدد خصائص جهاز الزائر ومتصفحه، ثم يقدم البرمجيات الخبيثة المناسبة للمرحلة التالية. وبالنسبة لمستخدمي iOS يقود ذلك إلى مجموعة استغلال تُسمى DarkSword لجمع ملفات تعريف الارتباط وبيانات الجهاز كاملة. وعلى Android تستطيع البرمجيات الخبيثة تسريب بيانات Chrome وكلمات مرور Wi-Fi من دون تثبيت نفسها بشكل دائم في النظام.

حدد الباحثون ثلاث فئات من الاستغلال. الفئة A تستهدف أجهزة iOS العاملة بالإصدار 16.7 وتستغل CVE-2025-43529 وCVE-2024-27834 لتقديم برمجية JavaScript خبيثة لسرقة ملفات تعريف الارتباط. والفئة B تستهدف أجهزة iOS العاملة بالإصدار 18.5 وتستغل سلسلة استغلال DarkSword التي تضم CVE-2025-43529 وCVE-2026-20700 وCVE-2025-14174 وCVE-2025-43510 وCVE-2025-43520 لتقديم برمجية JavaScript خبيثة تسرّب بيانات الجهاز كاملة. والفئة C تستهدف أجهزة Android العاملة بإصدارات Chrome من 139 إلى 145، باستثناء الإصدار 143، وتستغل CVE-2026-3910 وCVE-2025-27038 لتحقيق تنفيذ كود عن بُعد والخروج من وضع العزل ورفع الصلاحيات، ثم تقديم AndroSnitch لجمع بيانات Chrome وكلمات مرور Wi-Fi.

وفي الحالات الثلاث تُرسل البيانات المسروقة إلى ad.starx-net[.]com:8881/telemetry/v12. وتتحقق سلسلة الهجوم على Android مما إذا كان الجهاز المستهدف Samsung Galaxy S25 Ultra، وذلك بفحص معرّف الطراز SM-S938B، وتوقف الاستغلال إذا تطابق الجهاز.

المصادر: The Hacker News