Sekoia schreibt die Kampagne „Poisoned Source“ mit mittlerer bis hoher Konfidenz APT29 oder einer Untergruppe zu. Der am 4. November 2026 veröffentlichte Bericht beschreibt drei Wege, über die Exploit-Ketten auf Mobilgeräte gelangen konnten. „No-click“ bedeutete dabei, dass nach dem Laden einer präparierten Seite keine weitere Aktion nötig war. Der Auslieferungsserver prüfte jedoch Browser- und Gerätedaten und gab einen Exploit nur bei passenden Zielmerkmalen aus. Ein Besuch allein belegt daher keine Infektion. Sekoias technische Analyse
Wie die Website-Kette Mobilgeräte erreichte
Die Kampagne nutzte laut Sekoia eingeschleusten JavaScript-Code auf kompromittierten Websites, nachgeahmte Websites über vom Angreifer betriebene Reverse-Proxys sowie einen kompromittierten Analyse-Tracker von Plerdy. Solche Reverse-Proxys leiten Inhalte einer echten Website über eine vom Angreifer kontrollierte Adresse weiter. Der Tracker von Plerdy war nach Sekoias Angaben vom 27. August bis zum 3. September 2026 kompromittiert. Die Untersuchung begann dem Bericht zufolge Mitte Oktober, nachdem auf der Website eines ukrainischen Gasproduzenten eine schädliche JavaScript-Einbindung aufgefallen war.
Ein Skript namens UltimateFingerprinter sammelte mit 61 Erfassungsmodulen 394 Angaben zu Browser und Gerät. Sekoia fand keinen Hinweis darauf, dass dieses Profil die spätere Exploit-Auslieferung über einfache Plausibilitätsprüfungen hinaus steuerte oder im weiteren Verlauf wiederverwendet wurde. Als solche Prüfungen nennt der Bericht unrealistische Bildschirmmaße und null registrierte Berührungspunkte.
Merksatz: Nach dem Laden war kein weiterer Klick nötig. Welche Geräte einen Exploit erhielten, hing weiterhin von den Zielkriterien ab.
Drei Exploit-Ketten für unterschiedliche Ziele
Sekoia unterscheidet zwei iOS-Ketten und eine für Android Chrome. Die iOS-16-Kette wurde laut Bericht für iOS 16.7 und 16.7.10 gefiltert; Sekoia zufolge hätte der Exploit technisch auch unter iOS 16.0 bis 17.4 funktionieren können. Diese Kompatibilität beschreibt nicht, welche Versionen der Server tatsächlich für die Auslieferung auswählte.
| Kette | Zielbereich und Filter | Genannte CVEs | Berichtetes Ziel |
| A | iOS 16.7 und 16.7.10 als Auslieferungsfilter; laut Sekoia technische Kompatibilität von iOS 16.0 bis 17.4 | CVE-2025-43529, CVE-2024-27834 | Browser-Cookies stehlen |
| B, DarkSword | iOS 18.5 | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 | Umfassende Daten vom Gerät sammeln |
| C, AndroSnitch | Android Chrome 139–145, ausgenommen Version 143 | CVE-2026-3910, CVE-2025-27038 | Chrome-Daten und gespeicherte WLAN-Zugangsdaten sammeln |
Zur iOS-18.5-Kette zählte Sekoia unter anderem Nachrichten, Messenger-Datenbanken, gespeicherte Zugangsdaten und Tokens, WLAN-Passwörter, Kontakte, Anrufverlauf, Standort- und Gesundheitsdaten, Fotos sowie Inhalte aus iCloud Drive. Die Android-Kette zielte auf Chrome-Daten und WLAN-Konfigurationen. Sie brach laut Sekoia ab, wenn sie ein Samsung Galaxy S25 Ultra mit der Gerätekennung SM-S938B erkannte.
Was Sekoia zu Schwachstellen und Zuordnung sagt
Sekoia bewertet die Verbindung zu APT29 mit mittlerer bis hoher Konfidenz. Als Grundlage nennt das Unternehmen technische Überschneidungen, operative Muster, Opferprofile und Infrastruktur; als Betreiber kommt laut der Analyse auch eine Untergruppe von APT29 infrage.
Die untersuchten Ketten nutzten nach Sekoias Angaben bekannte Schwachstellen, die von den jeweiligen Anbietern bereits vor der Kampagne behoben worden waren. Zero-Day-Lücken waren demnach nicht im Einsatz. In den analysierten Ketten fand Sekoia außerdem keine dauerhafte Verankerung auf den Geräten.
