Am 4. November 2026 veröffentlichte Sekoia eine Untersuchung zur Kampagne Poisoned Source, die das Team Mitte Oktober entdeckt hatte. Die Angreifer nutzten laut Sekoias Analyse drei Wege, um Exploits an mobile Geräte auszuliefern. Ein Skript erfasste 394 Geräte- und Browsermerkmale; Sekoia beobachtete jedoch nur einfache Prüfungen, die die Auslieferung beeinflussen konnten. Der Besuch einer betroffenen Seite genügte, ein weiterer Klick oder Download war nicht nötig.

Drei Wege führten zu den mobilen Exploits

Sekoia beschrieb eingeschleusten JavaScript-Code auf legitimen Websites, nachgeahmte Websites, die als Reverse-Proxy Seiteninhalte veränderten, und einen kompromittierten Webanalyse-Tracker von Plerdy. Alle drei Wege sollten passende Besucher zu einer plattformspezifischen Exploitkette leiten.

Der Tracker wurde vom 27. August bis zum 3. September 2026 manipuliert. Wer währenddessen eine Website besuchte, die das Skript lud, konnte dadurch auch das Fingerprinting-Skript der Angreifer laden.

Die Zahl der erfassten Merkmale sagt nicht, wie viele davon tatsächlich die Exploit-Auslieferung steuerten.

Was die 394 Merkmale über die Auswahl verraten

Das Skript UltimateFingerprinter setzte 61 Erfassungsmodule ein, um 394 Datenfelder zusammenzustellen. Als auslieferungsrelevant beobachtete Sekoia grundlegende Plausibilitätsprüfungen: Bildschirmbreite, Bildschirmhöhe und Zahl der Touchpunkte. Ergaben diese Angaben unplausible Werte, konnte die Auslieferung ausbleiben. Für die übrigen Merkmale fand Sekoia keine Hinweise darauf, dass sie die Exploit-Auswahl beeinflussten oder später in der Angriffskette erneut verwendet wurden.

Die gemeldeten Exploitketten für iOS und Android

Sekoia unterschied drei Ketten. Ihre Versionsangaben beschreiben unterschiedliche Ebenen: eine zusammengefasste Konfiguration, die technische Reichweite einer Kette und die Auswahl durch den Auslieferungsserver.

  • iOS-Kette A: Die Übersicht nennt iOS 16.7. In der technischen Analyse heißt es, die Kette sollte unter iOS 16.0 bis 17.4 funktionieren; der Auslieferungsserver filterte jedoch nach iOS 16.7 beziehungsweise 16.7.10. Zum Einsatz kamen CVE-2025-43529 und CVE-2024-27834. Ziel waren Browser- und App-Cookies.
  • iOS-Kette B: Diese Kette zielte auf iOS 18.5 und nutzte CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520. Sie zielte auf umfangreiche Gerätedaten, darunter Nachrichten, E-Mail- und Voicemail-Daten, Messenger-Datenbanken, Zugangsdaten, WLAN-Daten, Kontakte, Anruflisten sowie Medien.
  • Android-Kette C: Sie richtete sich gegen Chrome-Versionen 139 bis 145, ausgenommen Version 143, und nutzte CVE-2026-3910 sowie CVE-2025-27038. Die Schadsoftware AndroSnitch zielte auf Chrome-Cookies, gespeicherte Anmeldedaten und den Verlauf sowie WLAN-Konfigurationsdaten. Sekoia zufolge brach dieser Ablauf ab, wenn er das Gerätemodell SM-S938B erkannte.

Sekoia zufolge nutzten alle drei Ketten bekannte, bereits gepatchte Schwachstellen. Die beschriebenen Payloads richteten außerdem keine dauerhafte Präsenz auf den Geräten ein. Vollständig aktualisierte Geräte seien gegen genau diese Ketten geschützt.

Website-Reichweite ist keine Opferzahl

Der kompromittierte Plerdy-Tracker wurde laut Sekoia von Tausenden Websites geladen, die meisten davon in der Ukraine. Die Untersuchung beschreibt außerdem Hunderte legitime Websites als exponiert. Diese Angaben beziehen sich auf Websites; wie viele Geräte tatsächlich erfolgreich kompromittiert wurden, blieb unbekannt.

Sekoias Einschätzung zu APT29

Sekoia schrieb APT29 oder einer Untergruppe die Kampagne mit mittlerer bis hoher Zuversicht zu. Als Grundlage nannte das Unternehmen technische Überschneidungen, operative Muster, die betroffenen Ziele und die Infrastruktur. Das ist Sekoias Einschätzung der Urheberschaft.