Una campagna watering-hole su larga scala, attribuita con un livello di confidenza da moderato ad alto al gruppo di minacce russo APT29, ha preso di mira gli utenti di iOS e Android attraverso siti web compromessi e domini che imitavano portali legittimi. Secondo i ricercatori della società di cybersicurezza Sekoia, l’operazione ha utilizzato siti negli Stati Uniti, in Ucraina, nella Repubblica Ceca e in Bulgaria per distribuire codice che profilava i visitatori e selezionava exploit adatti ai loro dispositivi, senza richiedere alcuna interazione.
Secondo i ricercatori, tra i siti legittimi compromessi figuravano un produttore di gas ucraino, un’associazione di categoria dell’industria chimica statunitense e un sito bulgaro collegato all’esercito. Gli aggressori hanno inoltre utilizzato domini simili a quelli ufficiali di America250 e dell’hotel Raffles London at The OWO, ritrasmettendo i contenuti dei siti autentici tramite una configurazione di tipo adversary-in-the-middle.
Sekoia ha inoltre scoperto che gli aggressori avevano compromesso Plerdy, un fornitore ucraino di servizi di analisi web, e modificato il suo tracker SEO. Il tracker modificato è stato caricato da migliaia di siti web, perlopiù in Ucraina, tra il 27 agosto e il 3 settembre. Nei casi analizzati, il codice JavaScript identificava innanzitutto i dispositivi dei visitatori e le versioni dei browser; in seguito, un server di comando e controllo forniva la catena di exploit corrispondente.
Gli exploit prendevano di mira vulnerabilità nelle versioni meno recenti di iOS e di Chrome per Android. Su iOS 16.7, la catena prendeva di mira i cookie di Safari. Una catena distinta per iOS 18.5 cercava di accedere ai database di WhatsApp e Telegram, alle credenziali del Portachiavi, ai dati sulla posizione e alle foto. Su Chrome per Android, nelle versioni dalla 139 alla 145, esclusa la versione 143, il payload AndroSnitch raccoglieva cookie, dati di accesso, cronologia di navigazione e credenziali Wi-Fi salvate.
Sekoia ha individuato altre quattro vulnerabilità in codice non raggiungibile o in percorsi di exploit alternativi, ma ha dichiarato che non sono state utilizzate nelle catene esaminate. I ricercatori hanno inoltre collegato CVE-2025-43529 al kit di exploit DarkSword, documentato per la prima volta a marzo e utilizzato da diversi gruppi di minacce almeno da novembre 2025.
Secondo Sekoia, i payload non stabilivano la persistenza: ciò significa che il riavvio del dispositivo interrompeva l’attività finché l’utente non visitava nuovamente un sito compromesso. I ricercatori hanno basato l’attribuzione ad APT29 sulle somiglianze con le precedenti operazioni watering-hole del gruppo, sulle sovrapposizioni nell’infrastruttura e su un sito compromesso che un partner aveva collegato a una campagna APT29 nel 2025.
Apple e Google hanno corretto tutte le vulnerabilità prese di mira nella campagna; le correzioni sono state distribuite anche per le versioni precedenti di iOS. Agli utenti si consiglia di installare gli ultimi aggiornamenti di sicurezza disponibili per i propri dispositivi.
Fonti: BleepingComputer.