Zespół Threat Detection & Research firmy Sekoia opisał kampanię Poisoned Source, która docierała do urządzeń mobilnych trzema drogami i uruchamiała łańcuchy exploitów dopasowane do wybranych konfiguracji iOS oraz Androida. Raport opublikowany 4 listopada 2026 roku wskazuje też, że skrypt zbierający 394 pola nie oznaczał, iż każde z nich wpływało na dostarczenie exploita. Analiza Sekoia opisywała aktywność wykrytą w połowie października.
Jak Poisoned Source docierała do urządzeń mobilnych
Sekoia wskazała trzy drogi dostarczenia ataku: kod JavaScript wstrzyknięty do legalnych witryn, strony-pułapki działające jako odwrotne proxy oraz przejęty skrypt analityczny Plerdy. Odwrotne proxy przekazywało treść strony, ale mogło ją też modyfikować. Wizyta na zaatakowanej stronie wystarczała do uruchomienia łańcucha; nie był potrzebny kolejny klik ani pobieranie pliku.
Kod najpierw rozpoznawał urządzenie i przeglądarkę, a potem kierował pasującą konfigurację do odpowiedniego exploita. Dzięki temu kampania nie opierała się na jednym łańcuchu dla wszystkich telefonów.
Co oznacza fingerprint z 394 polami
Narzędzie UltimateFingerprinter wykorzystywało 61 modułów zbierających dane, by utworzyć 394 pola w formacie JSON. Sekoia zaobserwowała, że dostarczenie exploita mogły zatrzymać podstawowe testy wiarygodności urządzenia: sprawdzenie szerokości i wysokości ekranu oraz liczby punktów dotyku. W analizie nie znalazła oznak, by większość pozostałych pól wpływała na wybór exploita lub była wykorzystywana później w łańcuchu infekcji.
Sama liczba zebranych pól nie mówi, które z nich decydowały o dostarczeniu exploita.
Zgłoszone łańcuchy exploitów dla iOS i Androida
Sekoia opisała trzy klasy łańcuchów. Ich wersje i podatności różniły się między platformami:
| Łańcuch | Konfiguracja iOS lub Androida | Wykorzystane podatności | Cel payloadu |
| A | Podsumowanie Sekoia wskazuje iOS 16.7. Szczegółowa analiza podaje zakres działania od iOS 16.0 do 17.4, a serwer dostarczający atak filtrował urządzenia z iOS 16.7 lub 16.7.10. | CVE-2025-43529 i CVE-2024-27834 | Kradzież plików cookie przeglądarki i aplikacji. |
| B | iOS 18.5 | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 i CVE-2025-43520 | Pobieranie danych z urządzenia, w tym wiadomości, poczty i poczty głosowej, baz komunikatorów, danych logowania i tokenów, danych Wi-Fi, kontaktów, historii połączeń, kalendarza, notatek, pamięci podręcznych związanych z lokalizacją oraz plików multimedialnych. |
| C | Android Chrome w wersjach 139–145, z wyjątkiem wersji 143 | CVE-2026-3910 i CVE-2025-27038 | Kradzież plików cookie, zapisanych danych logowania i historii Chrome oraz danych konfiguracji Wi-Fi. |
Sekoia podała również, że łańcuch Androida zatrzymywał się po wykryciu modelu SM-S938B, czyli Samsung Galaxy S25 Ultra.
Zasięg trackera Plerdy i liczba przejętych urządzeń
Według Sekoia tracker Plerdy był przejęty od 27 sierpnia do 3 września 2026 roku. Ładowały go tysiące witryn, w większości ukraińskich. Sekoia opisała też setki legalnych stron jako narażone. Liczby witryn nie należy utożsamiać z liczbą skutecznie przejętych telefonów: Sekoia nie ustaliła, ile urządzeń zostało zainfekowanych.
Ocena przypisania i znaczenie poprawek
Sekoia oceniła z umiarkowanie wysokim poziomem pewności, że kampanię prowadził APT29 lub jedna z jego podgrup. Wskazała na podobieństwa techniczne, wzorce operacyjne, dobór ofiar i infrastrukturę. Przypisanie pozostaje oceną Sekoia.
Sekoia podała, że wszystkie trzy opisane łańcuchy wykorzystywały znane, załatane podatności, a nie luki zero-day. Według jej analizy nie działały one na w pełni zaktualizowanych urządzeniach. Zaobserwowane payloady nie ustanawiały trwałej obecności na urządzeniu.
