A Poisoned Source usou três rotas para levar cadeias de exploração a celulares: sites legítimos comprometidos, páginas falsas que funcionavam como proxies reversos e um rastreador de análise da Plerdy adulterado. A Sekoia publicou essa análise em 4 de novembro de 2026. Segundo a empresa, bastava visitar uma página afetada; não era necessário clicar em um link de download nem interagir com outro aviso. A investigação técnica da Sekoia também detalha o que a coleta de 394 campos permite concluir — e o que ela não permite.

A quantidade de dados coletados, por si só, não mostra quais informações determinaram a entrega de uma exploração.

Como a campanha chegava aos celulares

Nas páginas legítimas comprometidas, o código malicioso era inserido no site. Nas páginas falsas, um proxy reverso carregava o conteúdo de outro site e podia modificá-lo. A terceira rota passava pelo rastreador de análise da Plerdy: o código adulterado fazia os sites que carregavam o script buscar uma ferramenta de identificação de dispositivos controlada pelos invasores.

Essa identificação ajudava a encaminhar visitantes a uma cadeia de exploração adequada à configuração do celular e do navegador. A visita à página afetada era necessária, mas, de acordo com a Sekoia, não havia uma etapa adicional de confirmação ou download.

O que a coleta de 394 campos revela

A ferramenta JavaScript UltimateFingerprinter usava 61 coletores para reunir 394 campos em um perfil do dispositivo e do navegador. A Sekoia observou que verificações simples, como largura e altura da tela e quantidade de pontos de toque, podiam impedir o envio da exploração quando os valores pareciam incompatíveis com um aparelho real.

A análise não encontrou indícios de que a maioria dos demais campos influenciasse a escolha da exploração ou fosse reutilizada depois na cadeia de infecção. Assim, os 394 campos descrevem o volume de informações reunidas, não 394 critérios comprovados de seleção de vítimas.

As cadeias relatadas para iOS e Android

A Sekoia descreveu três classes de exploração, com vulnerabilidades e escopos diferentes:

  • Classe A, iOS: o resumo da investigação aponta o iOS 16.7. A análise técnica diz que a cadeia poderia funcionar do iOS 16.0 ao 17.4, enquanto o servidor de entrega filtrava aparelhos com iOS 16.7 ou 16.7.10. A cadeia usava CVE-2025-43529 e CVE-2024-27834 e buscava roubar cookies de navegador e aplicativos.
  • Classe B, iOS 18.5: usava CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520. A coleta descrita incluía mensagens, e-mails, correios de voz, bancos de dados de mensageiros, credenciais e tokens, dados de Wi-Fi, contatos, histórico de chamadas, calendário, notas, caches relacionados à localização e arquivos de mídia.
  • Classe C, Android: tinha como alvo o Chrome nas versões 139 a 145, exceto a 143, e usava CVE-2026-3910 e CVE-2025-27038. O payload AndroSnitch buscava cookies, logins salvos e histórico do Chrome, além de configurações de Wi-Fi. A cadeia interrompia a exploração ao detectar o modelo SM-S938B, identificado como Samsung Galaxy S25 Ultra.

As versões citadas descrevem as configurações e os filtros observados pela Sekoia; no caso da Classe A, a capacidade técnica da cadeia e o filtro do servidor tinham escopos diferentes.

O alcance do rastreador da Plerdy

A Sekoia situou o comprometimento do rastreador da Plerdy entre 27 de agosto e 3 de setembro de 2026. O script era carregado por milhares de sites, a maioria na Ucrânia, e a investigação também descreveu centenas de sites legítimos expostos por essa rota.

Esses números se referem a sites, não a celulares infectados. A Sekoia disse que a quantidade de aparelhos efetivamente comprometidos não era conhecida.

A avaliação sobre APT29 e as vulnerabilidades

A Sekoia atribuiu a campanha a APT29, ou a um de seus subgrupos, com confiança moderada a alta. A avaliação se baseou em semelhanças técnicas, padrões operacionais, perfil das vítimas e infraestrutura. A empresa também relatou semelhanças com uma estrutura de ataque de 2024 identificadas com a ajuda do Google Threat Analysis Group.

A Sekoia afirmou que as três cadeias descritas usavam vulnerabilidades conhecidas e já corrigidas, e que os payloads observados não estabeleciam persistência no aparelho. Segundo a empresa, essas cadeias não funcionariam em dispositivos totalmente atualizados.