Raport opublikowany przez Sekoia 4 listopada 2026 r. opisuje kampanię mobilną, którą firma z umiarkowaną do wysokiej pewnością przypisuje APT29 lub jego podgrupie. Atak wykorzystywał trzy drogi dostarczenia exploitów na urządzenia z iOS i Androidem. Określenie „bez kliknięcia” oznacza, że po załadowaniu strony nie była potrzebna kolejna czynność użytkownika. Sama wizyta nie przesądzała o infekcji: serwer dobierał exploit na podstawie informacji o przeglądarce i systemie. Raport techniczny Sekoia
„Bez kliknięcia” opisuje brak dodatkowej czynności po załadowaniu strony, a nie automatyczną infekcję każdego odwiedzającego.
Jak kampania docierała do przeglądarek mobilnych
Sekoia opisała trzy drogi: złośliwy kod JavaScript umieszczony na przejętych, legalnych stronach, serwery reverse proxy podszywające się pod znane witryny oraz przejęty skrypt analityczny Plerdy. Reverse proxy pośredniczy w ruchu internetowym; w tej kampanii służyło do naśladowania prawdziwych stron.
Po otwarciu strony kod zbierał informacje o przeglądarce i urządzeniu. Serwer wykorzystywał je do wyboru łańcucha dla iOS albo Androida. Sekoia podaje, że skrypt UltimateFingerprinter korzystał z 61 mechanizmów zbierania danych i tworzył profil z 394 polami. Nie oznaczało to, że każdy odwiedzający otrzymywał exploit: dostarczenie zależało od dopasowania do kryteriów ataku.
Sekoia datuje przejęcie trackera Plerdy na okres od 27 sierpnia do 3 września 2026 r. Zespół firmy rozpoczął śledztwo w połowie października, po wykryciu złośliwego skryptu na stronie ukraińskiej firmy z sektora wydobycia gazu.
Trzy łańcuchy miały różne cele
Sekoia przypisała poszczególnym łańcuchom konkretne wersje systemów i przeglądarki oraz wskazała użyte podatności. W przypadku łańcucha A oddzieliła wersje, dla których serwer stosował filtr dostarczania, od szerszego zakresu zgodności samego exploita.
| Łańcuch | Zakres i filtr | Wymienione CVE | Zgłoszony cel |
| A | Filtr dostarczania: iOS 16.7/16.7.10. Sekoia podaje, że exploit mógł działać na iOS 16.0–17.4. | CVE-2025-43529, CVE-2024-27834 | Kradzież ciasteczek przeglądarki. |
| B | iOS 18.5 | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 | Zbieranie danych z urządzenia; Sekoia nazywa ten łańcuch DarkSword. |
| C | Android Chrome 139–145, z wyjątkiem wersji 143 | CVE-2026-3910, CVE-2025-27038 | Zbieranie danych Chrome i zapisanych danych sieci Wi-Fi. |
W łańcuchu B Sekoia wymieniała między innymi wiadomości, bazy danych komunikatorów, zapisane hasła i tokeny, hasła do Wi-Fi, kontakty, historię połączeń, dane lokalizacyjne i zdrowotne, zdjęcia oraz pliki z iCloud Drive. Łańcuch Androida miał zbierać ciasteczka Chrome, zapisane loginy i historię przeglądania, a także dane konfiguracji Wi-Fi. Sekoia podaje, że ten łańcuch zatrzymywał działanie po wykryciu identyfikatora SM-S938B, który odpowiada modelowi Samsung Galaxy S25 Ultra.
Co Sekoia ustaliła o podatnościach i APT29
Według Sekoia wszystkie luki wykorzystane w analizowanych łańcuchach były znane i załatane przez producentów przed kampanią. Firma nie znalazła też w tych łańcuchach mechanizmu utrwalającego obecność atakujących na urządzeniu.
Sekoia opiera ocenę powiązania z APT29 na podobieństwach technicznych, wzorcach działania, profilu celów i infrastrukturze. Ocenia to powiązanie z umiarkowaną do wysokiej pewnością i dopuszcza, że za operacją mogła stać podgrupa APT29. Jest to ocena Sekoia, a nie oficjalne przypisanie kampanii przez władze państwowe.
