Nel rapporto pubblicato il 4 novembre 2026, Sekoia ha valutato con confidenza da moderata ad alta che Poisoned Source fosse opera di APT29 o di un suo sottogruppo. La campagna selezionava exploit per versioni precise di iOS e Chrome per Android: dopo il caricamento della pagina non serviva un altro clic, ma il server controllava browser e dispositivo prima di inviare un exploit. Una visita, da sola, non dimostra che il telefono sia stato infettato. Il rapporto tecnico di Sekoia descrive tre vie d’accesso e tre catene distinte.
«Senza clic» significa che dopo il caricamento non serviva un’altra azione; la selezione dell’exploit restava mirata.
Come arrivava l’exploit ai browser mobili
Sekoia descrive tre modalità di distribuzione: codice JavaScript inserito in siti legittimi compromessi, reverse proxy controllati dagli attaccanti che imitavano siti reali e un tracker di analisi di Plerdy alterato. Il termine watering hole indica proprio questo tipo di attacco: si compromette un sito che il pubblico preso di mira potrebbe visitare.
Il tracker di Plerdy risultò compromesso dal 27 agosto al 3 settembre 2026. Sekoia racconta di aver avviato l’indagine a metà ottobre, dopo aver rilevato codice JavaScript malevolo sul sito di un’azienda ucraina di produzione del gas. Sono date relative a eventi diversi: compromissione del tracker, rilevamento e pubblicazione del rapporto.
La pagina caricava uno script che profilava browser e dispositivo. Il server usava quelle informazioni per decidere se inviare una catena per iOS o Android; se i criteri non coincidevano, non restituiva l’exploit. «Senza clic» descrive quindi l’assenza di un’ulteriore azione richiesta all’utente dopo il caricamento, non un’infezione automatica a ogni visita.
Le tre catene e le versioni coinvolte
Sekoia distingue due catene per iOS e una per Chrome su Android. Per la catena A separa il filtro usato per distribuire l’exploit dalla compatibilità tecnica che attribuisce all’exploit stesso.
| Catena | Ambito e filtro | CVE citati da Sekoia | Obiettivo riportato |
| A | Filtro di distribuzione: iOS 16.7/16.7.10. Compatibilità dichiarata dell’exploit: iOS 16.0–17.4. | CVE-2025-43529; CVE-2024-27834 | Furto dei cookie del browser. |
| B, DarkSword | iOS 18.5. | CVE-2025-43529; CVE-2026-20700; CVE-2025-14174; CVE-2025-43510; CVE-2025-43520 | Raccolta di dati dall’intero dispositivo. |
| C | Chrome per Android 139–145, esclusa la versione 143. | CVE-2026-3910; CVE-2025-27038 | Dati di Chrome e informazioni della rete Wi-Fi. |
Per la catena B, Sekoia elenca messaggi e archivi di app di messaggistica, credenziali e token salvati, password Wi-Fi, contatti, cronologia delle chiamate, posizione, dati sanitari, foto e contenuti di iCloud Drive. La catena Android puntava anche ai cookie, alle credenziali e alla cronologia di Chrome. Sekoia afferma che si fermava se rilevava il codice del dispositivo SM-S938B, identificato come Samsung Galaxy S25 Ultra.
Che cosa dice Sekoia sull’attribuzione e sulle vulnerabilità
Sekoia collega la campagna ad APT29 sulla base di somiglianze tecniche, modalità operative, profilo delle vittime e infrastruttura; considera anche possibile il coinvolgimento di un suo sottogruppo. È la valutazione tecnica di Sekoia, non un’attribuzione ufficiale di un governo.
Le catene analizzate non usavano vulnerabilità zero-day: secondo Sekoia, le falle sfruttate erano già note e corrette dai rispettivi fornitori prima della campagna. Sekoia non ha rilevato persistenza sui dispositivi nelle catene esaminate.
