Eine groß angelegte Watering-Hole-Kampagne, die mit mittlerer bis hoher Zuversicht der russischen Bedrohungsgruppe APT29 zugeschrieben wird, zielte über kompromittierte Websites und Domains, die legitime Portale nachahmten, auf iOS- und Android-Nutzer ab. Forschern des Cybersicherheitsunternehmens Sekoia zufolge nutzte die Operation Websites in den Vereinigten Staaten, der Ukraine, Tschechien und Bulgarien, um Code auszuliefern, der Besucher profilierte und ohne erforderliche Interaktion Exploits für ihre Geräte auswählte.

Zu den kompromittierten legitimen Websites gehörten den Forschern zufolge ein ukrainischer Gasproduzent, ein US-amerikanischer Branchenverband der Chemieindustrie und eine Website mit Bezug zum bulgarischen Militär. Die Angreifer nutzten außerdem ähnlich aussehende Domains, die sich als die offizielle Website America250 und das Hotel Raffles London at The OWO ausgaben und Inhalte der echten Websites über eine Adversary-in-the-Middle-Konfiguration weiterleiteten.

Sekoia stellte außerdem fest, dass die Angreifer den ukrainischen Webanalyseanbieter Plerdy kompromittiert und dessen SEO-Tracker verändert hatten. Der modifizierte Tracker wurde zwischen dem 27. August und dem 3. September von Tausenden Websites geladen, überwiegend in der Ukraine. In den analysierten Fällen ermittelte JavaScript zunächst die Geräte und Browserversionen der Besucher. Anschließend lieferte ein Command-and-Control-Server die jeweils passende Exploit-Kette.

Die Exploits zielten auf Schwachstellen in älteren Versionen von iOS und Chrome für Android ab. Unter iOS 16.7 zielte die Kette auf Safari-Cookies. Eine separate Kette für iOS 18.5 versuchte, WhatsApp- und Telegram-Datenbanken, Keychain-Zugangsdaten, Standortdaten und Fotos abzugreifen. Unter den Android-Versionen 139 bis 145 von Chrome, mit Ausnahme von Version 143, sammelte die AndroSnitch-Payload Cookies, Anmeldedaten, den Browserverlauf und gespeicherte WLAN-Zugangsdaten.

Sekoia identifizierte vier weitere Schwachstellen in nicht erreichbarem Code oder alternativen Exploit-Pfaden, erklärte jedoch, dass diese in den untersuchten Ketten nicht zum Einsatz kamen. Die Forscher brachten CVE-2025-43529 außerdem mit dem Exploit-Kit DarkSword in Verbindung, das erstmals im März dokumentiert wurde und seit mindestens November 2025 von mehreren Bedrohungsgruppen eingesetzt wird.

Die Payloads richteten laut Sekoia keine Persistenz ein. Ein Neustart des Geräts würde die Aktivitäten daher beenden, bis der Nutzer erneut eine kompromittierte Website besucht. Die Forscher stützten ihre Zuordnung zu APT29 auf Ähnlichkeiten mit früheren Watering-Hole-Operationen der Gruppe, Überschneidungen bei der Infrastruktur und eine kompromittierte Website, die ein Partner mit einer APT29-Kampagne aus dem Jahr 2025 in Verbindung gebracht hatte.

Apple und Google haben alle in der Kampagne angegriffenen Schwachstellen behoben; die Korrekturen wurden auch für ältere iOS-Versionen bereitgestellt. Nutzern wird geraten, die neuesten für ihre Geräte verfügbaren Sicherheitsupdates zu installieren.

Quellen: BleepingComputer.