Масштабна кампанія типу watering hole («водопій»), яку дослідники повʼязують із російським угрупованням APT29, була спрямована на власників iPhone та Android-смартфонів, які відвідували зламані сайти або їхні підробки. Через скомпрометований український сервіс вебаналітики Plerdy шкідливий код протягом тижня завантажувався на тисячах сайтів — переважно українських.
Кампанію в середині жовтня 2026 року виявила команда Threat Detection & Research французької компанії Sekoia. Атака використовувала відомі й уже виправлені вразливості — так звані n-day. На відміну від вразливостей нульового дня, для них уже існують оновлення, тож під загрозою опинилися лише пристрої, власники яких не встановили патчі. Від жертви не вимагалося жодних дій: достатньо було відкрити заражену сторінку на смартфоні з неоновленою системою.
Три шляхи зараження
Перший шлях — злам легітимних сайтів. Розслідування почалося зі шкідливого скрипту на сайті українського газовидобувного підприємства. Згодом дослідники виявили такий самий код на сайтах американської галузевої асоціації хімічної промисловості, болгарського ресурсу військової тематики та ультраправої чеської політичної сили.
Другий шлях — сайти-двійники, що працювали за схемою «зловмисник посередині» (adversary-in-the-middle, AiTM). Вони транслювали вміст справжніх ресурсів і «на льоту» додавали до сторінок шкідливий скрипт. Так зловмисники підробили офіційний сайт America250 — національної ініціативи до 250-річчя незалежності США — та сайт розкішного лондонського готелю Raffles London at The OWO, розташованого поруч із Міністерством оборони Великої Британії та резиденцією премʼєр-міністра на Даунінг-стріт, 10. На думку Sekoia, підробка готельного сайту могла бути спрямована проти дипломатичних делегацій і високопоставлених гостей. Дослідники, посилаючись на відкриті джерела, зазначають, що 14 жовтня в цьому готелі зупинявся Президент України Володимир Зеленський.
Третій і наймасштабніший шлях — атака на ланцюг постачання. З 27 серпня по 3 вересня 2026 року зловмисники контролювали файл SEO-трекера українського сервісу вебаналітики Plerdy, який завантажують тисячі сайтів. Серед них, за даними Sekoia, — ресурси, повʼязані з армією, спецпідрозділами, виробниками військового обладнання (балістика, БпЛА) та військовим рекрутингом.
В усіх випадках початковим навантаженням був JavaScript-код, що визначав тип пристрою та версію браузера відвідувача. Після цього сервер керування (C2) надсилав відповідний ланцюжок експлойтів. Скрипт, який самі зловмисники назвали UltimateFingerprinter, збирає 394 параметри пристрою і замаскований під бібліотеку AngularJS, що становить близько 98% обсягу файлу. Втім, на доставку експлойтів, за спостереженнями Sekoia, впливала лише перевірка, чи це справді смартфон: розміри екрана та підтримка сенсорного введення.
Які вразливості використовували
За даними Sekoia, зловмисники застосовували три ланцюжки експлойтів для викрадення файлів cookie, баз даних месенджерів і облікових даних:
- iOS 16.7: CVE-2025-43529 та CVE-2024-27834. Мета — файли cookie. Дослідники зазначають, що метод дає змогу красти cookie не лише Safari, а й інших запущених застосунків.
- iOS 18.5: CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 та CVE-2025-43520. Цей ланцюжок фактично «вивантажує» вміст телефона: SMS та iMessage, пошту, бази WhatsApp і Telegram, паролі й токени зі «Звʼязки ключів» (Keychain), паролі Wi-Fi, контакти, журнал дзвінків, календар, нотатки, історію Safari, дані геолокації, «Здоровʼя», фото та файли iCloud Drive.
- Chrome для Android версій 139–145 (крім 143): CVE-2026-3910 у Chrome та CVE-2025-27038 у графічному драйвері Qualcomm Adreno. Інструмент AndroSnitch збирає файли cookie Chrome, збережені логіни, історію переглядів і паролі Wi-Fi. Цікава деталь: на Samsung Galaxy S25 Ultra експлойт свідомо припиняє роботу.
Ще чотири вразливості — CVE-2024-27808, CVE-2024-27833, CVE-2025-31277 та CVE-2025-24201 — дослідники знайшли в недосяжних фрагментах коду або як альтернативні шляхи експлуатації. У проаналізованих ланцюжках їх не використовували.
Ланцюжок для iOS 18.5 — це набір експлойтів DarkSword, який Google Threat Intelligence Group описала в березні 2026 року. Щонайменше з листопада 2025 року його застосовують кілька угруповань, зокрема проти користувачів в Україні. На думку Sekoia, кампанія підтверджує тенденцію: державні хакери дедалі частіше використовують готові інструменти комерційних розробників шпигунського ПЗ.
Жодне з навантажень не закріплювалося на пристрої: перезавантаження зупиняє шкідливу активність до наступного відвідування зараженого сайту. Водночас уже викрадені дані перезавантаження, звісно, не повертає.
Чому саме APT29
APT29, відоме також як Midnight Blizzard і Cozy Bear, — одне з найвідоміших APT-угруповань; його повʼязують зі Службою зовнішньої розвідки рф. Sekoia приписує йому кампанію з помірною або високою впевненістю. Серед аргументів дослідники називають схожість із попередніми операціями угруповання, зокрема з кампанією 2024 року проти урядових сайтів Монголії, також спрямованою на крадіжку cookie. Інші аргументи — перетини в інфраструктурі, сліди кампанії APT29 2025 року на одному зі зламаних сайтів, вибір жертв з акцентом на Україну та США, а також попередні атаки на європейські політичні партії. Нещодавно APT29 також повʼязували з атаками через Wi-Fi у готелях.
Sekoia співпрацює з CERT постраждалих країн, щоб ідентифікувати жертв і нейтралізувати інфраструктуру атаки. Окрему подяку дослідники висловили CERT-UA.
Як захиститися
Apple та Google уже виправили всі вразливості, використані в кампанії. Оновлення отримали навіть старіші версії iOS. За оцінкою Sekoia, пристрій з актуальною системою від цих атак захищений. Тому головна рекомендація — встановити останні оновлення iOS, Android і Chrome та ввімкнути автоматичне оновлення. Людям із підвищеним ризиком стати мішенню (військовим, журналістам, держслужбовцям) варто також увімкнути на iPhone режим карантину (Lockdown Mode).
