Nutzer mobiler Geräte, die kompromittierte Websites oder nachgeahmte Portale besuchen, waren Angriffen ausgesetzt, die ohne weitere Interaktion Daten stehlen können. In einem Bericht vom 4. November berichtete BleepingComputer über die Erkenntnisse von Sekoia, wonach Angreifer Exploits für die iOS- oder Android-Software der Besucher auswählten. Dadurch waren Browser-Zugangsdaten und auf manchen Geräten auch private Nachrichten und Fotos gefährdet.
Die Angriffe nutzten bekannte Schwachstellen, für die Apple und Google bereits Patches veröffentlicht haben. Sekoia ordnete die Operation mit mittlerer bis hoher Wahrscheinlichkeit der russischen Gruppe APT29 zu, die auch als Midnight Blizzard bezeichnet wird.
Websites werden zu Angriffswegen
Kampagne erreichte Besucher über stark frequentierte Websites in den Vereinigten Staaten, der Ukraine, Tschechien und Bulgarien. Sie kombinierte einen Watering-Hole-Ansatz, bei dem Websites kompromittiert werden, die die eigentlichen Zielpersonen wahrscheinlich besuchen, mit Domains, die sich als legitime Ziele ausgaben.
Zu den kompromittierten Organisationen gehörten ein ukrainischer Gasproduzent, ein amerikanischer Branchenverband der Chemieindustrie und eine Website mit Bezug zum bulgarischen Militär. Die nachgeahmten Seiten übernahmen die Identität des offiziellen Portals von America250 und des Hotels Raffles London at The OWO. Sie leiteten Inhalte der echten Websites weiter, sodass der Angreifer im Sinne eines Adversary-in-the-Middle-Szenarios zwischen Besucher und dem echten Ziel stand.
Ein zweiter Weg vergrößerte das potenzielle Ausmaß: Sekoia stellte fest, dass Angreifer den ukrainischen Web-Analyse-Anbieter Plerdy gehackt und dessen SEO-Tracker verändert hatten, eine Komponente zur Verfolgung der Suchmaschinenoptimierung. Tausende Websites, überwiegend ukrainische, luden den Tracker zwischen dem 27. August und dem 3. September.
Jeder Weg begann mit demselben JavaScript-Profiling-Code. Er prüfte Gerät und Browserversion des Besuchers, woraufhin ein vom Angreifer kontrollierter Server die passende Abfolge von Exploits lieferte. Dabei handelte es sich um N-day-Angriffe, also um Angriffe mit bereits öffentlich bekannten Schwachstellen. Zum Ausführen der Exploit-Kette war nach dem Öffnen der Seite keine weitere Aktion des Nutzers nötig.
Was die einzelnen Angriffe sammeln konnten
Sekoias Analyse ergab unterschiedliche Kombinationen aus Schwachstellen und Zieldaten:
- Auf iOS 16.7 nutzte die Kette CVE-2025-43529 zusammen mit CVE-2024-27834, um Safari-Cookies abzugreifen, also Daten, die Websites im Browser speichern.
- Auf iOS 18.5 kombinierte die Kette CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520. Die Payload sammelte WhatsApp- und Telegram-Datenbanken, Zugangsdaten aus Apples Keychain-Speichersystem, Standortinformationen und Fotos.
- Für Chrome auf Android, Versionen 139 bis 145 außer 143, nutzten die Angreifer CVE-2026-3910 und CVE-2025-27038. Die AndroSnitch-Payload sammelte Chrome-Cookies, Anmeldedaten, Browserverlauf und gespeicherte WLAN-Zugangsdaten.
Die Forscher fanden außerdem Hinweise auf vier weitere Schwachstellen, und zwar in Code, der nicht erreichbar war, oder in alternativen Exploit-Wegen. Diese Lücken fehlten jedoch in den von ihnen analysierten Ketten.
Eine Schwachstelle, CVE-2025-43529, wird auch mit dem Exploit-Kit DarkSword in Verbindung gebracht. Dieses Kit wurde im März erstmals dokumentiert und wird von mehreren Bedrohungsgruppen eingesetzt, und zwar in Angriffen, die mindestens bis November 2025 zurückreichen.
Sekoia stützte seine APT29-Einschätzung auf Infrastruktur, die mit früheren Aktivitäten geteilt wurde, auf Ähnlichkeiten mit früheren Watering-Hole-Operationen der Gruppe und auf eine kompromittierte Website, die ein Partner 2025 einer APT29-Kampagne zugeordnet hatte. BleepingComputer merkte außerdem an, dass die Gruppe kürzlich mit Angriffen auf Hotel-WLANs in Verbindung gebracht worden war.
Neustart unterbricht die Aktivität, Updates schließen die Lücken
Sekoia stellte fest, dass keine der Payloads der Kampagne Persistenz aufwies, also die Fähigkeit, einen Neustart des Geräts zu überstehen. Ein Neustart beendet die schädliche Aktivität daher. Ein erneuter Besuch einer kompromittierten Website kann das Gerät jedoch erneut gefährden.
BleepingComputer berichtete, dass Apple und Google jede in der Kampagne genutzte Schwachstelle geschlossen haben, auch durch Updates für ältere iOS-Versionen. Nutzer sollten die neuesten verfügbaren Sicherheitsupdates für ihre Geräte installieren.
