האקרים הקשורים ל-APT29 משתמשים בסקריפט אנליטיקה שנחטף כדי לתקוף iOS ו-Android

שחקן איום המזוהה עם APT29 עומד, לפי הדיווחים, מאחורי קמפיין watering hole רחב היקף שתוקף משתמשי iOS ו-Android דרך אתרים שנפרצו, דומיינים מזויפים ומתקפת שרשרת אספקה בשירות האנליטיקה האוקראיני Plerdy SEO Tracker. חוקרי Sekoia, Amaury-Jacques Garçon ו-Félix Aime, מסרו כי ה-JavaScript שהוזרק אוסף מאפייני דפדפן ומכשיר, ולאחר מכן התשתית מספקת שרשרת ניצול N-day המותאמת לפלטפורמה. הקמפיין, ששם הקוד שלו Poisoned Source, התגלה באמצע אוקטובר 2026 ומטרתו לספק מטענים שגונבים קובצי cookie של הדפדפן, ובמקרים מסוימים גם סיסמאות Wi-Fi או את כל נתוני המכשיר הנייד.

דרכי ההדבקה

חוקרי Sekoia זיהו שלושה וקטורי הדבקה: פריצה לאתרים לגיטימיים כדי להזריק JavaScript זדוני; אתרים מתחזים שמחקים אתרים מובילים בארצות הברית, באוקראינה, בצ'כיה ובבולגריה, ובהם america250[.]holiday; ופריצה לשרשרת האספקה של Plerdy SEO Tracker בין 27 באוגוסט ל-3 בספטמבר 2026, באמצעות הזרקת קוד זדוני לכתובת a.plerdy[.]com/public/js/click/main.js.

בין האתרים שנפרצו: איגוד סחר תעשייתי גדול המייצג חברות אמריקניות בתעשייה הכימית, מפלגה פוליטית אירופית מהימין הקיצוני ואתר בולגרי העוסק בנושאים צבאיים. לדברי Sekoia, עדיין לא ברור אם התוקפים ביקשו לפגוע במבקרים באתרים מסוימים או לפרוץ למספר רב ככל האפשר של מכשירים ניידים שאינם מעודכנים. החוקרים ציינו כי כמה מהאתרים צפויים למשוך מבקרים בעלי ערך גבוה או חשיבות אסטרטגית בהקשר של המלחמה בין רוסיה לאוקראינה, וכי מתקפת שרשרת האספקה התפשטה גם לאתרים בעלי ערך גבוה, כמו אתרים של צבא, כוחות מיוחדים וציוד צבאי.

שרשראות הניצול

כל השיטות מובילות ל-loader ב-JavaScript שמאפיין את המכשיר והדפדפן של המבקר, ואז מגיש את הנוזקה המתאימה לשלב הבא. עבור משתמשי iOS הוא מוביל לערכת ניצול בשם DarkSword, שאוספת קובצי cookie ואת כל נתוני המכשיר. ב-Android הנוזקה מסוגלת להעביר החוצה נתונים מ-Chrome וסיסמאות Wi-Fi בלי להתקין את עצמה באופן קבוע במערכת.

החוקרים זיהו שלוש מחלקות ניצול. מחלקה A מכוונת למכשירי iOS עם גרסה 16.7 ומנצלת את CVE-2025-43529 ואת CVE-2024-27834 כדי להעביר נוזקת JavaScript לגניבת קובצי cookie. מחלקה B מכוונת למכשירי iOS עם גרסה 18.5 ומנצלת את שרשרת הניצול DarkSword, הכוללת את CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 ו-CVE-2025-43520, כדי להעביר נוזקת JavaScript שמעבירה החוצה את כל נתוני המכשיר. מחלקה C מכוונת למכשירי Android עם גרסאות Chrome מ-139 עד 145, למעט גרסה 143, ומנצלת את CVE-2026-3910 ואת CVE-2025-27038 כדי להשיג הרצת קוד מרחוק, יציאה מה-sandbox, הסלמת הרשאות ולבסוף להעביר את AndroSnitch לאיסוף נתוני Chrome וסיסמאות Wi-Fi.

בכל שלושת המקרים הנתונים שנשלפו נשלחים לכתובת ad.starx-net[.]com:8881/telemetry/v12. שרשרת התקיפה ב-Android בודקת אם המכשיר המותקף הוא Samsung Galaxy S25 Ultra לפי מזהה הדגם SM-S938B, ומפסיקה את הניצול אם המכשיר מתאים.

מקורות: The Hacker News