En omfattande watering hole-kampanj som med måttligt till hög säkerhet kopplas till den ryska hotaktören APT29 riktades mot iOS- och Android-användare som besökte komprometterade webbplatser eller imitationsportaler, enligt cybersäkerhetsforskarna på Sekoia.
Kampanjen omfattade välkända webbplatser i USA, Ukraina, Tjeckien och Bulgarien. Bland de komprometterade webbplatserna fanns sådana som tillhörde en ukrainsk gasproducent, en amerikansk branschorganisation för kemiindustrin och en bulgarisk militärrelaterad webbplats. Imitationsdomäner utgav sig för att vara webbplatsen America250 och hotellet Raffles London at The OWO.
I varje fall kartlade JavaScript först besökarnas enheter och webbläsarversioner. Därefter skickade en kommando- och kontrollserver plattformsspecifika n-dagars sårbarhetskedjor som inte krävde någon användarinteraktion. Forskarna hittade också fyra andra sårbarheter i oåtkomlig kod eller alternativa sårbarhetsvägar, men uppgav att dessa inte användes i de analyserade kedjorna.
Kampanjen omfattade också ett intrång hos den ukrainska webbanalystjänsten Plerdy. Dess ändrade SEO-spårare laddades av tusentals webbplatser, främst i Ukraina, mellan 27 augusti och 3 september. Sekoia uppgav att nyttolasterna inte skapade beständig åtkomst. Därför stoppade en omstart av enheten den skadliga aktiviteten tills den åter besökte en komprometterad webbplats.
Som stöd för kopplingen hänvisade Sekoia till likheter med tidigare watering hole-operationer från APT29, överlappande infrastruktur och en webbplats som en partner kopplade till en APT29-kampanj från 2025. Apple och Google har åtgärdat alla sårbarheter som utnyttjades i kampanjen, även i äldre iOS-versioner. Källan rekommenderar att installera de senaste tillgängliga säkerhetsuppdateringarna.
Kommentarer
0Inga kommentarer ännu. Skriv den första.