Campanha ligada ao APT29 explora falhas já corrigidas em iOS e Android
Sekoia afirma que dispositivos com sistema e navegador atualizados não são vulneráveis às cadeias de exploração divulgadas.
A empresa de segurança Sekoia divulgou em 4 de novembro a análise de uma campanha de watering‑hole identificada em meados de outubro, após encontrar JavaScript malicioso em um site de uma companhia de gás ucraniana. Segundo a investigação, os atacantes serviram cadeias de exploração n‑day específicas para plataformas a visitantes de diversos sites.
Os operadores — atribuídos ao grupo ligado à Rússia conhecido como APT29 — alcançaram alvos injetando JavaScript em sites legítimos, operando domínios de proxy reverso semelhantes e comprometendo de forma breve o provedor ucraniano de analytics Plerdy entre 27 de agosto e 3 de setembro para carregar código de perfilamento em milhares de sites.
Pesquisadores recuperaram três cadeias de exploração completas: duas para iOS que reaproveitam a família DarkSword e múltiplas CVEs (incluindo CVE-2025-43529 e CVE-2024-27834 para versões antigas do iOS, além de CVE-2026-20700 e outras para iOS 18.5) e uma para Android que encadeia CVE-2026-3910 (Chrome) com CVE-2025-27038 (Adreno) para entregar um payload chamado AndroSnitch.
Os implants exfiltraram cookies do navegador, bancos de dados de mensagens e e‑mail, credenciais do Keychain, fotos, dados de localização e credenciais de Wi‑Fi salvas para ad.starx-net[.]com:8881/telemetry/v12. Nenhum dos malwares instalados estabeleceu persistência: um reboot limpa a atividade até que haja nova exposição.
Fornecedores já liberaram correções para as falhas exploradas; por isso, atualizar sistemas operacionais e navegadores é a principal medida de mitigação recomendada. Certs e agências estão coordenando identificação de vítimas e remoção dos artefatos, e a Sekoia alerta que o reuso de kits comerciais de exploração reduz o custo e aumenta a escala de futuros ataques a dispositivos móveis.