Хакери, пов'язані з APT29, використовують викрадений аналітичний скрипт для атак на iOS і Android

Загрозовий суб'єкт, пов'язаний з APT29, за повідомленнями, стоїть за великомасштабною кампанією watering hole, що націлена на користувачів iOS і Android через зламані сайти, фальшиві домени та атаку на ланцюг постачання, яка стосується українського вебаналітичного сервісу Plerdy SEO Tracker. Дослідники Sekoia Amaury-Jacques Garçon і Félix Aime повідомили, що впроваджений JavaScript збирає атрибути браузера й пристрою, перш ніж інфраструктура передасть платформоспецифічний ланцюжок експлойтів N-day. Кампанію, яка має кодову назву Poisoned Source, виявили в середині жовтня 2026 року; вона має на меті надавати корисне навантаження, що викрадає cookie браузера, а в деяких випадках і паролі Wi-Fi або повні дані мобільного пристрою.

Шляхи зараження

Sekoia визначила три вектори зараження: злам легітимних вебсайтів для впровадження шкідливого JavaScript; сайти-двійники, що маскуються під популярні вебсайти в США, Україні, Чехії та Болгарії, зокрема america250[.]holiday; а також компрометацію ланцюга постачання Plerdy SEO Tracker між 27 серпня та 3 вересня 2026 року шляхом впровадження шкідливого коду в a.plerdy[.]com/public/js/click/main.js.

Серед зламаних сайтів є велика галузева торгова асоціація, що представляє компанії США в хімічній промисловості, ультраправа європейська політична партія та болгарський сайт, пов'язаний з військовою сферою. Sekoia повідомила, що залишається незрозумілим, чи планували нападники націлюватися на відвідувачів конкретних вебсайтів, чи прагнули скомпрометувати якомога більше мобільних пристроїв без оновлень безпеки. Дослідники зазначили, що кілька сайтів, імовірно, приваблюють відвідувачів високої цінності або стратегічного значення в контексті російсько-української війни, а також що атака на ланцюг постачання поширилася через цілі високої цінності, як-от сайти армії, спеціальних сил і військової техніки.

Ланцюжки експлойтів

Усі методи ведуть до завантажувача JavaScript, який профілює пристрій і браузер відвідувача, а потім надає відповідне шкідливе навантаження наступного етапу. Для користувачів iOS це веде до набору експлойтів DarkSword для збирання cookie та повних даних пристрою. На Android шкідливе програмне забезпечення здатне ексфільтрувати дані Chrome і паролі Wi-Fi без закріплення в системі.

Дослідники визначили три класи експлойтів. Клас A націлений на пристрої iOS з iOS 16.7 і експлуатує CVE-2025-43529 та CVE-2024-27834, щоб доставити JavaScript-шкідливе програмне забезпечення для викрадення cookie. Клас B націлений на пристрої iOS з iOS 18.5 і експлуатує ланцюжок експлойтів DarkSword, що включає CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 і CVE-2025-43520, для доставки JavaScript-шкідливого програмного забезпечення з метою повної ексфільтрації даних пристрою. Клас C націлений на пристрої Android з версіями Chrome від 139 до 145, крім версії 143, і експлуатує CVE-2026-3910 та CVE-2025-27038 для досягнення віддаленого виконання коду, виходу з пісочниці, підвищення привілеїв і доставки AndroSnitch для збирання даних Chrome і паролів Wi-Fi.

У всіх трьох випадках ексфільтровані дані надсилаються на ad.starx-net[.]com:8881/telemetry/v12. Ланцюжок атаки на Android перевіряє, чи є цільовий пристрій Samsung Galaxy S25 Ultra, досліджуючи його ідентифікатор моделі SM-S938B, і припиняє експлуатацію, якщо пристрій збігається.

Джерела: The Hacker News