APT29 атакует пользователей iOS и Android через взломанные сайты и поддельные порталы
Группу APT29, также известную как Midnight Blizzard, исследователи Sekoia связывают с масштабной атакой типа watering hole на пользователей iOS и Android. Эксплойты работают без участия пользователя, а взломанные сайты и поддельные порталы используются как приманка.
Главное в цифрах
- Период загрузки скомпрометированного кода Plerdy: с 27 августа по 3 сентября
- Страны жертв сайтов: США, Украина, Чехия, Болгария
Исследователи Sekoia с умеренно высокой степенью уверенности связывают кампанию с APT29. Атака нацелена на пользователей, которые посещают взломанные сайты или поддельные порталы, выдающие себя за легитимные.
Среди пострадавших ресурсов есть сайты украинского газодобытчика, отраслевой ассоциации химической промышленности США и болгарского сайта, связанного с военной сферой. Поддельные домены выдавали себя за официальный сайт America250 и за отель Raffles London at The OWO, а содержимое передавали с настоящих сайтов по схеме adversary-in-the-middle.
Как работала атака
Первый этап, JavaScript-код, который определяет устройство посетителя и версию браузера. Затем сервер управления передаёт подходящую цепочку эксплойтов под конкретную платформу. Исследователи отмечают, что эксплойты применяются без участия пользователя.
В одной из цепочек использовалась уязвимость CVE-2025-43529, связанная с эксплойт-китом «DarkSword», который описали в марте и который с ноября 2025 года применяют несколько групп. Полезная нагрузка APT29 не создавала постоянного присутствия, поэтому перезагрузка устройства останавливала атаку до нового визита на взломанный сайт. Эксплойты нужны были, чтобы получить cookie-файлы, базы данных мессенджеров и учётные данные.
Взлом Plerdy
Злоумышленники также взломали украинский сервис веб-аналитики Plerdy и изменили его SEO-трекер. Этот код загружали тысячи сайтов, в основном в Украине, с 27 августа по 3 сентября.
Apple и Google закрыли все уязвимости, которые использовались в кампании, и исправления дошли даже до старых версий iOS. Пользователям рекомендуется установить последние доступные обновления безопасности для своих устройств.