Мащабна кампания тип watering hole използва компрометирани легитимни сайтове и фалшиви техни копия, за да атакува потребители на iOS и Android. Сред засегнатите ресурси изследователите посочват и български сайт с военна насоченост. Операцията е приписана с умерена към висока степен на увереност на руската група APT29.

Изследователи от компанията за киберсигурност Sekoia са установили координирана кампания, при която посетителите на подбрани уебсайтове получават JavaScript код за профилиране на устройствата и браузърите си. След първоначалното събиране на информация сървърът за командване и контрол (C2) изпраща подходяща верига от експлойти според използваната платформа и версията на браузъра.

Целта е използване на вече известни, но все още приложими уязвимости – т.нар. n-day експлойти – без необходимост от допълнително действие от страна на жертвата.

Компрометирани сайтове в четири държави

Според Sekoia кампанията обхваща високопрофилни уебсайтове в САЩ, Украйна, Чехия и България. Сред компрометираните легитимни ресурси са сайт на украински производител на природен газ, уебсайт на американска браншова организация от химическата индустрия и български сайт с военна насоченост.

Изследователите са открили и фалшиви домейни, имитиращи официалния сайт на инициативата America250 и лондонския хотел Raffles London at The OWO. Те препредават съдържание от оригиналните сайтове, като използват модел на атака „човек по средата“ (adversary-in-the-middle).

Отделна част от операцията е насочена към украинската услуга за уеб анализ Plerdy. Нападателите са компрометирали услугата и са променили нейния SEO проследяващ код. Той е бил зареждан от хиляди сайтове, предимно в Украйна, в периода от 27 август до 3 септември.

Този подход разширява потенциалния обхват на атаката отвъд конкретните компрометирани сайтове – зловредният код може да достигне до посетители на множество независими уебресурси чрез външния компонент, който те използват.

Експлойти според устройството и версията на софтуера

Първоначалният JavaScript код събира информация за операционната система, браузъра и неговата версия. На тази основа C2 инфраструктурата избира подходящата верига от експлойти.

Според анализа на Sekoia са използвани следните уязвимости:

• iOS 16.7: CVE-2025-43529 и CVE-2024-27834. Атакуващият код е насочен към извличане на бисквитки, съхранявани в Safari.
• iOS 18.5: CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 и CVE-2025-43520. Целта е достъп до бази данни на WhatsApp и Telegram, идентификационни данни от Keychain, информация за местоположението и снимки.
• Chrome за Android, версии 139 до 145, с изключение на 143: CVE-2026-3910 и CVE-2025-27038. Използван е инструментът AndroSnitch за събиране на бисквитки, данни за вход, история на сърфирането и запазени пароли за Wi-Fi мрежи.

Изследователите са идентифицирали още четири уязвимости в недостижим код или алтернативни пътища за експлоатация, но те не са били използвани във веригите, които са анализирали.

Особено значение има CVE-2025-43529, която е свързана с експлойт комплекта DarkSword. Той е документиран за първи път през март и според публикацията се използва в атаки поне от ноември 2025 г. от различни групи.

Връзка с APT29 и липса на постоянен достъп

Sekoia приписва кампанията с умерена към висока степен на увереност на APT29, известна още като Midnight Blizzard. Групата е свързвана с руски държавни интереси и преди това е била асоциирана с атаки срещу хотелски Wi-Fi мрежи с цел компрометиране на акаунти в Microsoft 365.

В подкрепа на атрибуцията изследователите посочват сходства с предишни watering hole операции на групата, припокриване в използваната инфраструктура и компрометиран сайт, който партньор на Sekoia свързва с кампания на APT29 от 2025 г.

Според анализа нито един от използваните полезни товари не осигурява постоянство на заразяването. Това означава, че рестартирането на устройството прекратява текущата злонамерена активност. Рискът обаче се появява отново, ако потребителят посети компрометиран сайт, докато той продължава да разпространява атакуващия код.

Актуализациите остават основната защита

Apple и Google вече са отстранили всички уязвимости, използвани в кампанията. Корекции са предоставени и за по-стари версии на iOS, което е особено важно за устройства, които не могат да преминат към най-новото основно издание на операционната система.

Потребителите трябва да инсталират последните налични актуализации за iOS, Android и браузърите си. Препоръката важи и за устройствата, които се използват предимно за достъп до електронна поща, корпоративни приложения и служебни акаунти.

Кампанията показва, че дори посещението на привидно легитимен уебсайт може да се превърне във входна точка за атака срещу мобилно устройство. При watering hole операциите защитата не зависи само от поведението на потребителя, а и от сигурността на сайтовете и външните услуги, чието съдържание се зарежда в тях.