A Sekoia vizsgálata egy kiterjedt, mobileszközöket célzó „watering hole” kampányt ír le. A módszer lényege, hogy a támadók olyan weboldalakat fertőznek meg, amelyeket a kiszemelt emberek várhatóan meglátogatnak. A látogatónak nem kell külön fájlt letöltenie vagy gyanús hivatkozásra kattintania. A kutatók közepes-magas bizonyossággal az APT29-hez, vagy annak valamely csoportjához kötik a műveletet. Az APT29-et széles körben az orosz külső hírszerző szolgálathoz (SVR) kapcsolják.

A kampány háromféle módon juttatta el a kártékony kódot a látogatókhoz:

• Megfertőzött weboldalakon JavaScript kódot illesztettek az oldal sablonjába vagy egy létező JavaScript fájlba. Az érintettek között ukrán, amerikai, bolgár és európai oldalak is voltak.
• Hamis, közvetítő weboldalakon a támadók egy legitim oldal másolatán keresztül irányították át a látogatót. A közbeiktatott oldal a valódi webhely tartalmába menet közben szúrta be a támadó kódját. Ezt a megoldást a jelentés „AiTM-szerűnek” nevezi, a támadó a felhasználó és a valódi oldal közé ékelődik.
• Ellátásilánc-támadással a Plerdy nevű ukrán webes analitikai szolgáltatás egyik fájlját módosították. A a.plerdy[.]com alól betöltődő nyomkövetőt 2026. augusztus 27. és szeptember 3. között használták kártékony kód terjesztésére, így a szolgáltatást használó sok, túlnyomórészt ukrán weboldal látogatói is veszélybe kerülhettek.

Felderítés és célba juttatás

A fertőzött oldalakról egy JavaScript profilozó kód töltődött be. Ez 61 adatgyűjtőn keresztül összesen 394 mezőnyi információt gyűjthetett a böngészőről és az eszközről, például a rendszer- és böngészőverzióról, a képernyőről, valamint egyes Apple és webes funkciókról. Az összegyűjtött adatok alapján a kiszolgáló a telefonhoz és böngészőhöz illő támadási láncot küldte vissza.

A kutatók megállapították, hogy a részletes eszközprofilozás során gyűjtött adatok többsége nem befolyásolta érdemben, hogy a támadók kiszolgálója továbbítja-e a sérülékenységek kihasználására szolgáló kódot a látogató eszközére. A támadók ugyanakkor bizonyos alapvető eszközjellemzőket, például a képernyő méretét és az érintésvezérlés támogatását is ellenőrizték, amelyek nem megfelelő értékei esetén a támadókód kézbesítése elmaradt. A támadás elsősorban olyan elavult vagy nem megfelelően frissített mobileszközöket célzott, amelyeken továbbra is kihasználhatók voltak a korábban már nyilvánosságra hozott sérülékenységek. A jelentés kiemeli, hogy a vizsgált támadási láncok nem nulladik napi (zero-day), hanem már ismert (n-day) sérülékenységekre épültek, így a megfelelő biztonsági frissítésekkel rendelkező eszközökön nem voltak sikeresen végrehajthatók.

iPhone-ok és Android-eszközök elleni láncok

Az iOS-es támadások két eltérő célt szolgáltak. Az egyik lánc iOS 16.7 körüli verziókat célzott, és a böngészőben, illetve más alkalmazásokban tárolt sütik megszerzésére irányult. A másik, összetettebb lánc iOS 18.5-öt célzott, és a DarkSword nevű exploitkészlethez kapcsolódott. Ez szélesebb hozzáférést tett lehetővé: az üzenetek, e-mailek, WhatsApp és Telegram adatok, mentett jelszavak és tokenek, Wi-Fi-jelszavak, böngészési előzmények, helyadatok, jegyzetek és fényképek is szerepeltek az elérhető adatkörben. A jelentés szerint a láncok nem telepítettek tartós kémprogramot, a megszerzett adatokat egy távoli kiszolgálóra továbbították.

Az Android elleni lánc a Chrome 139-145-ös verzióinak egyes, javítatlan kiadásait célozta, a 143-as verzió kivételével. A támadók a Chrome sütijeit, mentett bejelentkezési adatait és böngészési előzményeit, valamint a mentett Wi-Fi-hálózati adatokat próbálták megszerezni.

A jelentésben szereplő CVE-k

A Sekoia elemzése három különböző támadási láncot azonosított. Az első, A jelű lánc az iOS 16.7-es rendszert futtató iPhone-okat célozta, és a CVE-2025-43529, valamint a CVE-2024-27834 sérülékenységeket használta fel elsősorban a böngészőben tárolt sütik megszerzésére. A B lánc iOS 18.5-öt célzott, és ennél jóval szélesebb adatgyűjtést tett lehetővé. A CVE-2025-43529 mellett a CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 és CVE-2025-43520 hibák segítségével üzenetekhez, e-mailekhez, üzenetküldő alkalmazások adataihoz, mentett jelszavakhoz, Wi-Fi-jelszavakhoz, böngészési előzményekhez, helyadatokhoz, jegyzetekhez és fényképekhez is hozzájuthatott. A C lánc Android eszközökön, a Chrome 139-145-ös verzióinak egyes kiadásain működött, a 143-as verzió kivételével. Itt a CVE-2026-3910 és a CVE-2025-27038 használatával a Chrome sütijei, mentett bejelentkezési adatai, böngészési előzményei és Wi-Fi-hálózati információi voltak a fő célpontok. A cikk emellett alternatív iOS exploitokat is említ. A CVE-2024-27808 és a CVE-2024-27833 az A osztályú mintában elérhetetlen kódként szerepelt, míg a CVE-2025-31277 a B osztályú készletben alternatív belépési pontként, a CVE-2025-24201 pedig alternatív sandbox kijutási lehetőségként jelent meg.

A láncok több lépésből álltak. Először a böngésző folyamatában értek el kódfuttatást, majd egyes esetekben megkerülték az Apple Pointer Authentication Code (PAC) védelmét, kijutottak a böngésző korlátozott környezetéből, illetve magasabb jogosultságokat szereztek. Ezután tudtak hozzáférni a védett alkalmazásadatokhoz. Androidon a Chrome rendererének kompromittálását a Qualcomm Adreno grafikus illesztőprogramját érintő CVE-2025-27038 kihasználása követte.

Miért az APT29 a fő gyanúsított?

A Sekoia értékelése több jelre támaszkodik. Korábbi, APT29-hez kötött watering hole kampányokkal mutatkozó technikai és működési hasonlóságokra, a cookie lopásra épülő célokra, valamint arra, hogy a célpontok között ukrán, amerikai és európai szereplők voltak. A Plerdy kompromittálása különösen sok ukrán oldalt érinthetett, köztük a védelmi és katonai területekhez kapcsolódó webhelyeket. A kutatók ugyanakkor hangsúlyozzák, hogy a teljes célzási logika nem ismert, és az áldozatok köre nem rajzol ki minden elemében egységes mintát.

IoC-függelék

Az alábbi indikátorok a Sekoia által közzétett APT29-hez köthető mobilos watering hole kampányból származnak. A lista a cikkben nyilvánosan megosztott elemeket tartalmazza.

Hamis, AiTM-szerű weboldalak

• theowo[.]club – A Raffles London at The OWO weboldalát tükrözte; 2026. június 18-án regisztrálták.
• america250[.]holiday – Az america250.org oldalt tükrözte; 2026. május 19-én regisztrálták.
• 192.121.46[.]25 – Az america250[.]holiday társított IP-címe, EDIS GmbH, AS9009.
• 188.190.17[.]232 – A theowo[.]club társított IP-címe, EDIS GmbH, AS57169.

Delivery- és exfiltrációs infrastruktúra

• static.flux-telemetry[.]com – Az UltimateFingerprinter szkriptet és exploitokat szolgálta ki; 2026. április 2-án regisztrálták.
• 109.104.106[.]107 – A static.flux-telemetry[.]com IP-címe, Shock Hosting LLC, AS395092.
• edge-ord.clouds-stacks[.]com – A Plerdy supply-chain támadásban használták; más delivery kiszolgálókra irányított át.
• 95.133.231[.]28 – Az edge-ord.clouds-stacks[.]com IP-címe, servinga GmbH, AS219399.
• ads-it-assets[.]com – HTTP-átirányításon keresztül használt delivery kiszolgáló.
• cdn.adv-static[.]com – HTTP-átirányításon keresztül használt delivery kiszolgáló.
• wpvortex-mod[.]com – HTTP-átirányításon keresztül használt delivery kiszolgáló.
• assets-int[.]com – HTTP-átirányításon keresztül használt delivery kiszolgáló.
• adsprism-stat[.]com – Az america250[.]holiday kampányhoz kapcsolódó delivery domain.
• ad.starx-net[.]com – A lopott sütik, eszközadatok és Android-adatok fogadója; 2026. április 3-án regisztrálták.
• 195.58.140[.]105 – Az ad.starx-net[.]com IP-címe, Shock Hosting LLC, AS395092.

URL-ek és végpontok

• hxxps://static.flux-telemetry[.]com/module/5b4c8fea5cbcee273e8d830f52-temfp.js – Az UltimateFingerprinter szkript letöltési címe.
• hxxps://edge-ord.clouds-stacks[.]com/module/5b4c8fea5cbcee273e8d830f52-temfp.js – A Plerdy-n keresztül injektált azonos fingerprinting szkript címe.
• hxxps://static.flux-telemetry[.]com/api/uGmlx2pmMHU1jq7wZU2QWgeC28vbXalf/v1 – A fingerprint-adatok beküldésére és az exploit kiszolgálására használt végpont.
• hxxps://ad.starx-net[.]com/api/<NONCE>/v1 – A B lánc első szakaszának letöltési végpontja.
• hxxps://ad.starx-net[.]com/api/<NONCE>/v2 – A B lánc sandbox-kijutási szakaszának letöltési végpontja.
• hxxps://ad.starx-net[.]com/api/<NONCE>/v3 – A B lánc privilege escalation és post-exploitation szakaszának letöltési végpontja.
• hxxps://ad.starx-net[.]com:8881/telemetry/v12 – Az A, B és C lánc exfiltrációs végpontja.

Fertőzött külső komponens

• hxxps://a.plerdy[.]com/public/js/click/main.js – A Plerdy SEO Tracker legitim fájlja, amelyet 2026. augusztus 27. és szeptember 3. között kompromittáltak.
• a.plerdy[.]com – A kompromittált analitikai szolgáltatás domainje; önmagában nem feltétlenül rosszindulatú, de az időszakban kártékony kódot szolgáltatott.

Fájlhash-ek

• a7d2493df00565c21587b0cad2a9fe7ca1e5590acf796da6e499be0ffde44cc3 – Class A, 1. szakasz.
• bee3e014e3df87ddce0250b0985b87f6868a427a7b650a74b7ffedb9d57f3088 – Class A, 2. szakasz.
• c170fda024183645c0aa681149304e50506509c3498bb6b9a5f5ced6aa73e5fa – Class B, 1. szakasz.
• 2ffb35e3f9e55286a930fb887e73764a913166648135fe0ca7551736d97d7bfa – Class B, 2. szakasz.
• 69b6cb327a4d5da99399718f6a66f84de69f89425b0a31f2dcee0682f811596f – Class B, 3. szakasz.
• 29d283ebd08d0cd3b2e6f4a67718d3d6e7a6be01d0613d716bce218dba57a928 – Class C, 1. JavaScript-szakasz.
• 06c17b31d36838f3d29044784aa047d5c2d9174d3356c1211cf25f9df677445f – Class C, 2. JavaScript-szakasz.
• 183d62d682aea8018491c8559544e8d6a9ab0e1abd05ecbb6c97daa4f438d2b8 – Class C, CVE-2025-27038 shellcode.
• 387a7fb768db1350a9788d9704e7a72abe07152734e0ff026af72b417e36268c – AndroSnitch végső komponens.

Egyéb detekciós jelek

• A VDGH_TOKEN_REF cookie neve replay-védelemként szerepel az A és B iOS-láncokban.
• Az UltimateFingerprinter szkript azonos fájlnevet használ: 5b4c8fea5cbcee273e8d830f52-temfp.js.
• Az Android-lánc a Filename és X-Device-Id HTTP fejlécekkel küld adatot az exfiltrációs végpontra.
• Az AndroSnitch komponens a Chrome Cookies, Login Data és History fájljait, valamint a WifiConfigStore.xml fájlokat éri el.

(forrás)