APT29 קושרה לקמפיין watering hole נגד מכשירים ניידים המשתמש בשרשראות ניצול n-day

Security Affairs מדווח, על סמך מחקר שפרסמה Sekoia, כי קמפיין watering hole רחב היקף מכוון למשתמשי iOS ו־Android. Sekoia זיהתה את הקמפיין לראשונה באמצע אוקטובר 2026 באתר של חברה אוקראינית להפקת גז. בין האתרים שנפרצו היו אתרים בארה״ב, באוקראינה, בצ׳כיה ובבולגריה, ושירות ניתוח האתרים האוקראיני Plerdy נפרץ בהתקפת שרשרת אספקה שפגעה באלפי אתרים, רובם אוקראיניים.

Sekoia זיהתה גם שני אתרים מזויפים, האחד מעתיק את America250 והאחר משחזר את אתר Raffles London at The OWO, מלון יוקרה סמוך למשרד ההגנה הבריטי ולדאונינג סטריט. Sekoia מאמינה שייתכן שאתר המלון שימש לפגיעה במשלחות דיפלומטיות באמצעות spear-phishing, אך לדבריה הדבר נותר בלתי מאושר. Sekoia אינה יכולה לקבוע אם התוקפים כיוונו למבקרים מסוימים או למספר הגדול ביותר האפשרי של טלפונים שלא עודכנו.

Sekoia שלפה שלוש שרשראות ניצול משרת ההפצה. Class B היא DarkSword, שלדברי Sekoia היא ערכת ניצול ל־iOS החשודה כמגיעה מספק מסחרי של כלי מעקב. מטען ה־Android, ש־Sekoia מכנה AndroSnitch, אוסף עוגיות של Chrome, פרטי התחברות שמורים והיסטוריה, והגדרות Wi-Fi. לפי Sekoia, כל השרשראות נשענות על פגיעויות ידועות שהספקים תיקנו לפני תחילת הקמפיין, ואף אחת מהן אינה משתמשת ב־zero-day.

למה זה חשוב לצוותי אבטחה הקמפיין מראה שאפשר להדביק מבקרים באתרים שהם נותנים בהם אמון, כולל דרך סקריפט analytics של צד שלישי, ולכן מלאי סקריפטים וניטור של תגיות צד שלישי חשובים לא פחות מעדכון תיקונים בנקודות הקצה. משתמשי מכשירים ניידים עם גרסאות iOS ו־Android שלא עודכנו נותרים חשופים לשרשראות n-day אלה, ואילו הדוח של Sekoia מצביע על כך שמכשירים מעודכנים במלואם אינם מושפעים. חוקרים ראוי שיבחנו את האינדיקטורים שדווחו, את הסקריפט UltimateFingerprinter ואת השימוש החוזר בערכת ניצול מסחרית כסימן לכך שקבוצות הנתמכות על ידי מדינות מאמצות כלי ניצול ניידים מוכנים.