Sekoia publiceerde op 4 november 2026 een onderzoek naar Poisoned Source, een mobiele aanvalscampagne die de onderzoekers halverwege oktober ontdekten. De campagne gebruikte drie routes om geschikte iOS- en Android-apparaten exploitketens te sturen. De script verzamelde 394 fingerprintvelden, maar Sekoia zag geen aanwijzing dat de meeste daarvan de aflevering van een exploit bepaalden. Sekoia’s technische analyse beschrijft ook hoe de aanvallers websites bereikten en welke mobiele configuraties ze viseerden.

Hoe Poisoned Source mobiele apparaten bereikte

De aanval begon wanneer iemand een getroffen webpagina bezocht. Volgens Sekoia was daarna geen extra klik of download nodig. De onderzoekers beschreven drie manieren waarop de schadelijke code werd afgeleverd: aanvallers voegden JavaScript toe aan legitieme websites, maakten lookalike-sites die als reverse proxy pagina’s aanpasten, of misbruikten een gecompromitteerde analytics-tracker van Plerdy.

Een watering-hole-aanval richt zich op websites die de beoogde bezoekers waarschijnlijk gebruiken. In dit geval kon een bezoek aan een getroffen site de browser- en apparaatgegevenscontrole starten, waarna de server een passende exploitketen kon selecteren.

Wat de 394 fingerprintvelden zeggen

De aangepaste JavaScript-tool UltimateFingerprinter gebruikte 61 collectors om 394 gegevensvelden samen te stellen. De omvang van die verzameling betekent niet dat ieder veld aantoonbaar werd gebruikt om een doelwit of exploit te kiezen.

Sekoia beschreef eenvoudige plausibiliteitscontroles op schermbreedte, schermhoogte en het aantal aanraakpunten. Die controles konden de aflevering tegenhouden als de waarden niet bij een echt mobiel apparaat pasten. Voor het merendeel van de overige velden vond Sekoia geen aanwijzing dat ze de exploitkeuze beïnvloedden of later in de infectieketen opnieuw werden gebruikt.

Een groot aantal verzamelde gegevensvelden vertelt op zichzelf niet welke gegevens daadwerkelijk de exploitaflevering bepaalden.

De gerapporteerde exploitketens voor iOS en Android

Sekoia beschreef drie ketenklassen. De versies die in de samenvatting staan, de technische reikwijdte van een exploit en de selectie door de afleverserver zijn niet steeds hetzelfde.

  • iOS-keten A: Sekoia’s samenvatting noemt iOS 16.7. De technische analyse stelt dat de keten zou moeten werken op iOS 16.0 tot en met 17.4; de afleverserver filterde op iOS 16.7 en 16.7.10. De keten gebruikte CVE-2025-43529 en CVE-2024-27834 en was gericht op browser- en appcookies.
  • iOS-keten B: deze keten richtte zich op iOS 18.5 en gebruikte CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 en CVE-2025-43520. Sekoia beschreef diefstal van onder meer berichten, e-mail- en voicemailgegevens, messenger-databases, inloggegevens en tokens, wifi-inloggegevens, contacten, belgeschiedenis, agenda- en notitiegegevens, locatiegerelateerde caches en media.
  • Android-keten C: deze keten richtte zich op Chrome-versies 139 tot en met 145, met uitzondering van versie 143. De gebruikte kwetsbaarheden waren CVE-2026-3910 en CVE-2025-27038. De payload AndroSnitch zocht naar Chrome-cookies, opgeslagen inloggegevens en geschiedenis, plus wifi-configuratiegegevens.

Sekoia meldde ook dat de Android-keten stopte wanneer het toestel als model SM-S938B werd herkend. Dat modelnummer hoort bij de Samsung Galaxy S25 Ultra.

De Plerdy-route en het aantal besmette apparaten

Volgens Sekoia was de tracker van Plerdy van 27 augustus tot en met 3 september 2026 gecompromitteerd. De tracker werd geladen door duizenden websites, waarvan de meeste Oekraïens waren. De analyse beschreef daarnaast honderden legitieme websites als blootgesteld.

Het aantal apparaten dat daadwerkelijk werd gecompromitteerd bleef volgens Sekoia onbekend. Het aantal websites dat de tracker laadde, is dus geen telling van besmette telefoons.

Sekoia’s toeschrijving en de rol van patches

Sekoia schreef de campagne met matig tot hoog vertrouwen toe aan APT29 of een van de subgroepen daarvan. De beoordeling berustte volgens de onderzoekers op technische overeenkomsten, operationele patronen, slachtofferprofielen en infrastructuur. Sekoia meldde daarnaast dat Google Threat Analysis Group overeenkomsten zag met een watering-hole-framework uit 2024. De toeschrijving is Sekoia’s analyse.

De drie beschreven ketens gebruikten bekende kwetsbaarheden waarvoor patches beschikbaar waren; Sekoia classificeerde ze niet als zero-days. Volgens de onderzoekers zouden volledig bijgewerkte apparaten niet kwetsbaar zijn voor deze specifieke ketens. De onderzochte payloads vestigden bovendien geen persistentie op de apparaten.