In een rapport dat Sekoia op 4 november 2026 publiceerde, beoordeelt het met matige tot hoge zekerheid dat APT29 of een subgroep achter de mobiele campagne Poisoned Source zat. De drie aanvalsketens richtten zich op specifieke softwareversies. ‘No-click’ betekende dat na het laden van een pagina geen extra handeling nodig was, niet dat elk bezoek een telefoon besmette. Sekoia’s technische rapport beschrijft hoe de ketens werden afgeleverd.
Hoe de aanvalsketens mobiele browsers bereikten
Sekoia beschrijft drie routes: aanvallers voegden JavaScript toe aan gehackte, legitieme websites, gebruikten lookalike reverseproxy’s die vertrouwde sites nabootsten en verspreidden code via de gecompromitteerde analysetracker van Plerdy. De code verzamelde gegevens over browser en apparaat. Een server koos vervolgens welke platformgebonden exploitketen werd teruggestuurd, afhankelijk van de bezoeker en de doelsoftware.
De Plerdy-tracker was volgens Sekoia van 27 augustus tot en met 3 september 2026 gecompromitteerd. Het onderzoeksteam zegt dat het de campagne medio oktober op het spoor kwam, nadat het schadelijke JavaScript op een website van een Oekraïens gasproductiebedrijf had aangetroffen.
Een exploit is code die een kwetsbaarheid misbruikt. Bij deze ketens hoefde een bezoeker na het laden van de pagina niets aan te klikken, maar de server stuurde een exploit alleen terug als de browser en het apparaat aan de doelvoorwaarden voldeden.
Bij een no-click-aanval kan de keten na het laden zonder extra tik doorgaan; de server selecteert nog steeds welke browser een exploit ontvangt.
Drie ketens met verschillende doelen
Sekoia onderscheidt twee iOS-ketens en één Android-keten. De versies in de tabel beschrijven de opgegeven softwareomvang; bij de eerste iOS-keten zijn de leveringsfilter en de bredere technische compatibiliteit niet hetzelfde.
| Keten | Softwarebereik en selectie | Genoemde CVE’s | Gerapporteerd doel |
| A, iOS | De leveringsfilter richtte zich op iOS 16.7/16.7.10. Sekoia zegt dat de exploit technisch kon werken op iOS 16.0–17.4. | CVE-2025-43529 en CVE-2024-27834 | Browsercookies stelen. |
| B, iOS | iOS 18.5 | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 en CVE-2025-43520 | Gegevens van het toestel verzamelen; Sekoia noemt deze keten DarkSword. |
| C, Android | Chrome 139–145, behalve versie 143 | CVE-2026-3910 en CVE-2025-27038 | Chromegegevens en wifi-instellingen verzamelen. |
De iOS 18.5-keten was volgens Sekoia gericht op onder meer berichten, gegevensbestanden van chatapps, opgeslagen inloggegevens en tokens, wifiwachtwoorden, contacten, belgeschiedenis, locatie- en gezondheidsgegevens, foto’s en iCloud Drive. De Android-keten richtte zich op Chrome-cookies, opgeslagen inloggegevens en browsergeschiedenis, naast wifi-configuratiegegevens. Sekoia meldt dat deze Android-keten stopte wanneer het toestel-ID SM-S938B werd herkend; dat ID hoort bij de Samsung Galaxy S25 Ultra.
Patches, zero-days en de APT29-beoordeling
Sekoia zegt dat de geanalyseerde ketens bekende kwetsbaarheden gebruikten die leveranciers vóór de campagne al hadden gepatcht. Het ging dus niet om zero-daykwetsbaarheden. In de onderzochte ketens vond Sekoia geen persistentie: ze zorgden er volgens het onderzoek niet voor dat de aanvallers blijvende toegang op het toestel behielden.
De toeschrijving aan APT29 is Sekoia’s beoordeling, gebaseerd op technische overeenkomsten, werkwijzen, doelwitten en infrastructuur. Het team schat die koppeling in met matige tot hoge zekerheid en houdt rekening met de mogelijkheid dat een subgroep de campagne uitvoerde.
