APT29 атакувала iOS і Android через скомпрометовані сайти

Хакерська кампанія, яку дослідники пов’язують із російською групою APT29, була спрямована проти користувачів iOS та Android, що відвідували скомпрометовані сайти або підроблені сторінки, які імітували легітимні портали. Шкідливий код збирав дані про пристрій і версію браузера, після чого сервер керування передавав відповідний ланцюжок експлойтів без взаємодії з боку користувача.

Про це повідомляє BBC News з посиланням на фахівців компанії Sekoia. Вони з помірною або високою впевненістю пов’язують операцію з APT29, також відомою як Midnight Blizzard.

Сайти та підроблені домени

У кампанії використовували кілька відомих сайтів у США, Україні, Чехії та Болгарії. Серед скомпрометованих ресурсів були сайт українського виробника газу, сайт американської галузевої асоціації хімічної промисловості та болгарський сайт, пов’язаний із військовою тематикою.

Дослідники також виявили домени, що імітували офіційний сайт America250 та готель Raffles London at The OWO. Вони передавали вміст справжніх сайтів за моделлю атаки «зловмисник посередині». Крім того, зловмисники скомпрометували український сервіс вебаналітики Plerdy та змінили його SEO-трекер, який із 27 серпня до 3 вересня завантажували тисячі сайтів, переважно в Україні.

Які дані намагалися викрасти

Для iOS 16.7 зловмисники застосовували вразливості CVE-2025-43529 і CVE-2024-27834, щоб отримати cookies з браузера Safari. Ланцюжок для iOS 18.5 використовував CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 і CVE-2025-43520. Він був націлений на бази даних WhatsApp і Telegram, облікові дані Keychain, геолокацію та фотографії.

Для Chrome на Android версій від 139 до 145, окрім 143, застосовували CVE-2026-3910 та CVE-2025-27038. Інструмент AndroSnitch збирав cookies Chrome, дані для входу, історію перегляду та збережені облікові дані Wi-Fi. За даними Sekoia, використані шкідливі компоненти не забезпечували закріплення на пристрої: перезавантаження припиняло їхню активність до нового відвідування зараженого сайту.

Apple і Google вже випустили виправлення для всіх вразливостей, використаних у цій кампанії, зокрема для старіших версій iOS.