Uma campanha de watering hole em grande escala, atribuída com confiança moderada a alta ao grupo de ameaças russo APT29, teve como alvo usuários de iOS e Android por meio de sites comprometidos e domínios que se faziam passar por portais legítimos. Pesquisadores da empresa de cibersegurança Sekoia afirmam que a operação usou sites nos Estados Unidos, na Ucrânia, na República Tcheca e na Bulgária para distribuir código que traçava o perfil dos visitantes e selecionava exploits para seus dispositivos sem exigir qualquer interação.
Segundo os pesquisadores, entre os sites legítimos comprometidos estavam o de uma produtora de gás ucraniana, o de uma associação comercial da indústria química dos EUA e o de um site relacionado às Forças Armadas da Bulgária. Os invasores também usaram domínios semelhantes aos legítimos, que se passavam pelo site oficial America250 e pelo hotel Raffles London at The OWO, retransmitindo conteúdo dos sites autênticos por meio de uma configuração de adversário no meio.
A Sekoia também descobriu que os invasores haviam comprometido a provedora ucraniana de análise da web Plerdy e alterado seu rastreador de SEO. O rastreador modificado foi carregado por milhares de sites, a maioria na Ucrânia, entre 27 de agosto e 3 de setembro. Nos casos analisados, o JavaScript primeiro identificava os dispositivos e as versões dos navegadores dos visitantes; em seguida, um servidor de comando e controle fornecia a cadeia de exploits correspondente.
Os exploits visavam vulnerabilidades em versões mais antigas do iOS e do Chrome para Android. No iOS 16.7, a cadeia tinha como alvo os cookies do Safari. Uma cadeia separada para o iOS 18.5 buscava bancos de dados do WhatsApp e do Telegram, credenciais do Keychain, dados de localização e fotos. No Chrome para Android das versões 139 a 145, com exceção da versão 143, a carga útil AndroSnitch coletava cookies, dados de login, histórico de navegação e credenciais de redes Wi-Fi salvas.
A Sekoia identificou quatro vulnerabilidades adicionais em código inacessível ou em caminhos alternativos de exploração, mas afirmou que elas não foram usadas nas cadeias examinadas. Os pesquisadores também associaram a CVE-2025-43529 ao kit de exploits DarkSword, documentado pela primeira vez em março e usado por vários grupos de ameaças desde pelo menos novembro de 2025.
As cargas úteis não estabeleciam persistência, informou a Sekoia, o que significa que reiniciar o dispositivo interromperia a atividade até que o usuário voltasse a visitar um site comprometido. Os pesquisadores fundamentaram a atribuição ao APT29 em semelhanças com operações anteriores de watering hole do grupo, sobreposições de infraestrutura e um site comprometido que um parceiro havia associado a uma campanha do APT29 em 2025.
A Apple e o Google corrigiram todas as vulnerabilidades visadas na campanha, e as correções também chegaram a versões mais antigas do iOS. Recomenda-se que os usuários instalem as atualizações de segurança mais recentes disponíveis para seus dispositivos.
Fontes: BleepingComputer.