Gli utenti mobili che visitano siti web compromessi o portali imitati sono stati esposti ad attacchi in grado di sottrarre dati senza ulteriori interazioni. In un rapporto del 4 novembre, BleepingComputer ha descritto i risultati di Sekoia, da cui emerge come gli aggressori scegliessero gli exploit in base al software iOS o Android dei visitatori, mettendo a rischio le credenziali del browser e, su alcuni dispositivi, messaggi privati e foto.
Gli attacchi sfruttavano vulnerabilità note, per le quali Apple e Google hanno già rilasciato patch. Sekoia attribuisce l'operazione, con un livello di confidenza da moderato ad alto, al gruppo russo APT29, noto anche come Midnight Blizzard.
I siti web diventano canali di distribuzione
La campagna ha raggiunto i visitatori attraverso siti di primo piano negli Stati Uniti, in Ucraina, nella Repubblica Ceca e in Bulgaria. Ha combinato un approccio watering-hole, che consiste nel compromettere siti che i bersagli designati potrebbero visitare, con domini che si fingono destinazioni legittime.
Tra le organizzazioni compromesse figurano un produttore di gas ucraino, un'associazione di categoria dell'industria chimica statunitense e un sito web legato al settore militare bulgaro. I siti imitati hanno usurpato l'identità del portale ufficiale di America250 e del Raffles London at The OWO hotel. Facevano passare contenuti dei siti autentici, collocando l'aggressore tra il visitatore e la destinazione legittima, in una configurazione adversary-in-the-middle.
Una via separata ha ampliato la potenziale esposizione: Sekoia ha riscontrato che gli aggressori avevano violato Plerdy, fornitore ucraino di servizi di web analytics, e modificato il suo SEO tracker, un componente usato per monitorare l'ottimizzazione per i motori di ricerca. Migliaia di siti, in prevalenza ucraini, hanno caricato il tracker tra il 27 agosto e il 3 settembre.
Ogni via iniziava con lo stesso codice JavaScript di profilazione. Il codice verificava il dispositivo e la versione del browser del visitatore; quindi un server controllato dagli aggressori forniva la sequenza di exploit corrispondente. Si trattava di attacchi n-day, cioè sfruttavano vulnerabilità già divulgate; per eseguire la catena di exploit non era necessaria alcuna ulteriore azione dell'utente oltre all'apertura della pagina.
Cosa poteva raccogliere ciascun attacco
L'analisi di Sekoia ha individuato combinazioni diverse di vulnerabilità e obiettivi di dati:
- Su iOS 16.7, la catena utilizzava CVE-2025-43529 insieme a CVE-2024-27834 per prendere di mira i cookie di Safari, ovvero i dati che i siti web memorizzano nel browser.
- Su iOS 18.5, la catena combinava CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520. Il suo payload raccoglieva i database di WhatsApp e Telegram, le credenziali del sistema di archiviazione Keychain di Apple, informazioni sulla posizione e foto.
- Per Chrome su Android, versioni da 139 a 145 esclusa la 143, gli aggressori utilizzavano CVE-2026-3910 e CVE-2025-27038. Il payload AndroSnitch raccoglieva cookie di Chrome, informazioni di accesso, cronologia di navigazione e credenziali WiFi salvate.
I ricercatori hanno inoltre trovato riferimenti a quattro vulnerabilità aggiuntive in codice non raggiungibile o in percorsi di exploit alternativi; tali falle non erano presenti nelle catene analizzate.
Una vulnerabilità, CVE-2025-43529, è stata inoltre associata al kit di exploit DarkSword. Il kit è stato documentato per la prima volta a marzo ed è stato utilizzato da più gruppi di minacce in attacchi risalenti almeno a novembre 2025.
La valutazione di Sekoia su APT29 si basa su infrastrutture condivise con attività precedenti, somiglianze con le precedenti operazioni watering-hole del gruppo e un sito web compromesso che un partner aveva collegato a una campagna APT29 del 2025. BleepingComputer ha inoltre osservato che il gruppo era stato di recente associato ad attacchi via WiFi negli hotel.
Il riavvio interrompe l'attività, gli aggiornamenti correggono le falle
Sekoia ha riscontrato che nessuno dei payload della campagna manteneva la persistenza, ossia la capacità di sopravvivere a un riavvio del dispositivo. Riavviare il dispositivo interrompe quindi l'attività dannosa, ma una nuova visita a un sito compromesso può esporlo di nuovo.
BleepingComputer riferisce che Apple e Google hanno corretto ogni vulnerabilità sfruttata nella campagna, anche con aggiornamenti per le versioni precedenti di iOS. Gli utenti dovrebbero installare gli ultimi aggiornamenti di sicurezza disponibili per i propri dispositivi.
