Sekoia publicó el 4 de noviembre de 2026 un análisis de «Poisoned Source», una campaña contra móviles que atribuye a APT29 o a uno de sus subgrupos con confianza moderada a alta. Las cadenas podían actuar sin más interacción después de cargar la página, pero el servidor seleccionaba los dispositivos según el navegador y el sistema operativo. El informe técnico de Sekoia describe tres rutas de distribución y objetivos distintos para iOS y Android.
«Sin clic» significa que no hacía falta otra acción después de cargar la página; el servidor aún seleccionaba qué navegador recibía una cadena.
Cómo llegaban las cadenas a los móviles
La operación usó JavaScript inyectado en sitios legítimos comprometidos, proxies inversos que imitaban sitios auténticos y un rastreador de analítica de Plerdy alterado para distribuir código malicioso. El servidor perfilaba el navegador y el dispositivo antes de decidir si enviaba un exploit. Por eso, visitar uno de esos sitios no basta para concluir que un teléfono quedara infectado.
Sekoia sitúa el compromiso del rastreador de Plerdy entre el 27 de agosto y el 3 de septiembre de 2026. Su equipo detectó la operación a mediados de octubre, tras hallar una inclusión de JavaScript malicioso en el sitio de una empresa ucraniana de producción de gas.
El script UltimateFingerprinter reunió 394 campos mediante 61 recolectores. Sekoia describe como filtros básicos de entrega unas dimensiones de pantalla inverosímiles y cero puntos táctiles; no encontró indicios de que la extensa huella digital influyera después en la selección del exploit.
Tres cadenas para versiones concretas
Sekoia describió dos cadenas para iOS y una para Chrome en Android. La tabla resume los sistemas seleccionados, las vulnerabilidades identificadas y los datos que cada cadena buscaba recopilar.
| Cadena | Sistema seleccionado | CVE identificados | Datos que podía recopilar |
| A | Filtro de entrega: iOS 16.7 y 16.7.10 | CVE-2025-43529 y CVE-2024-27834 | Cookies del navegador |
| B, DarkSword | iOS 18.5 | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520 | Mensajes y bases de datos de mensajería; credenciales y tokens guardados; contraseñas Wi-Fi; contactos, llamadas, ubicación y datos de salud; fotos e iCloud Drive |
| C, AndroSnitch | Chrome para Android 139–145, excepto la versión 143 | CVE-2026-3910 y CVE-2025-27038 | Datos de Chrome y configuración Wi-Fi guardada; la cadena se detenía si detectaba un Samsung Galaxy S25 Ultra |
Para la cadena A, Sekoia señala que el exploit podía funcionar en iOS 16.0–17.4, aunque el filtro de entrega indicado era iOS 16.7 y 16.7.10. El intervalo de compatibilidad técnica era más amplio que el filtro empleado por el servidor.
Qué concluye Sekoia sobre la campaña
Sekoia atribuye la operación a APT29 o a un subgrupo con confianza moderada a alta. Basa su evaluación en coincidencias técnicas, patrones operativos, victimología e infraestructura.
Según Sekoia, las vulnerabilidades de las tres cadenas analizadas ya habían sido parcheadas por sus proveedores antes de la campaña, así que no eran fallos de día cero. Sekoia tampoco encontró persistencia en las cadenas que analizó.
