Il 4 novembre 2026 Sekoia ha descritto Poisoned Source, una campagna che poteva indirizzare chi visitava pagine compromesse verso exploit per iOS e Android. Il rapporto individua tre vie di diffusione e una raccolta di 394 campi: nell’analisi di Sekoia, i controlli osservati che influivano sulla consegna riguardavano la plausibilità di alcune caratteristiche del dispositivo. Nel rapporto tecnico di Sekoia, la campagna è attribuita ad APT29 con un grado di fiducia medio-alto.
Come Poisoned Source raggiungeva i dispositivi mobili
Sekoia ha descritto tre vie d’accesso: codice JavaScript inserito in siti legittimi compromessi, siti-esca che facevano da proxy inverso e modificavano le pagine visitate, e la compromissione del tracker di analisi web di Plerdy. Il codice controllava la configurazione del dispositivo e poteva indirizzare le combinazioni selezionate verso exploit specifici.
Per avviare la catena bastava visitare una pagina interessata. Secondo Sekoia, non servivano altri clic né il download di un file.
Che cosa indicavano i 394 campi raccolti
Lo script personalizzato UltimateFingerprinter usava 61 strumenti di raccolta per comporre un profilo con 394 campi. La quantità di dati raccolti, da sola, non descriveva i criteri con cui venivano scelti i dispositivi da attaccare.
Sekoia ha osservato controlli di plausibilità su larghezza e altezza dello schermo e sul numero di punti di contatto. Valori ritenuti implausibili potevano bloccare la consegna dell’exploit. Non ha trovato evidenze che la maggior parte degli altri campi influenzasse la selezione dell’exploit o venisse riutilizzata più avanti nella catena.
Il numero di dati raccolti non coincide automaticamente con il numero di dati usati per decidere a chi inviare un exploit.
Le catene di exploit per iOS e Android
Sekoia ha descritto tre classi di catene. Per iOS, la prima mirava ai cookie del browser e delle app e combinava CVE-2025-43529 e CVE-2024-27834. Il riepilogo del rapporto indica iOS 16.7; l’analisi tecnica estende la capacità della catena a iOS 16.0–17.4, mentre il server di distribuzione filtrava per iOS 16.7 e 16.7.10. Sono tre indicazioni diverse: configurazione riportata nel riepilogo, intervallo tecnico e filtro del server.
La seconda catena riguardava iOS 18.5 e usava CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520. Il payload puntava a raccogliere dati estesi, fra cui messaggi, posta e segreteria telefonica, database di app di messaggistica, credenziali e token, contatti, cronologia delle chiamate, note e contenuti multimediali.
Su Android, la catena prendeva di mira Chrome nelle versioni dalla 139 alla 145, esclusa la 143, e sfruttava CVE-2026-3910 e CVE-2025-27038. Il payload cercava cookie, credenziali salvate e cronologia di Chrome, oltre alle configurazioni Wi-Fi. Sekoia riferisce che la catena si fermava se rilevava il modello SM-S938B, identificato come Samsung Galaxy S25 Ultra.
L’esposizione del tracker Plerdy e i dispositivi compromessi
Sekoia colloca la compromissione del tracker Plerdy tra il 27 agosto e il 3 settembre 2026. Il tracker era caricato da migliaia di siti, perlopiù ucraini; il rapporto descrive inoltre centinaia di siti legittimi come esposti. Questi dati riguardano i siti web, non il numero di telefoni infettati: Sekoia non ha quantificato i dispositivi compromessi con successo.
L’attribuzione di Sekoia e lo stato delle vulnerabilità
Sekoia valuta con fiducia medio-alta che APT29, o un suo sottogruppo, abbia condotto la campagna. La valutazione si basa su sovrapposizioni tecniche, modalità operative, vittimologia e infrastruttura. Sekoia cita anche somiglianze con un framework usato in un attacco watering-hole del 2024, individuate con l’aiuto di Google Threat Analysis Group, e segnala che alcune tracce su un sito potevano risalire a una campagna precedente.
Le tre catene descritte si basavano su vulnerabilità note e già corrette; i payload osservati non stabilivano persistenza. Secondo Sekoia, le catene non avrebbero funzionato su dispositivi completamente aggiornati.
