Sekoia atribui campanha móvel ao APT29 com confiança moderada a alta

Em relatório publicado em 4 de novembro de 2026, a equipe de Threat Detection & Research da Sekoia atribuiu a campanha móvel Poisoned Source ao APT29 ou a um subgrupo, com confiança moderada a alta. Os ataques não exigiam outra ação da pessoa depois que a página carregava, mas o servidor selecionava os aparelhos e navegadores que atendiam aos critérios da campanha. Uma visita, por si só, não significa que o celular foi infectado. A análise técnica da Sekoia detalha três rotas de entrega e cadeias distintas para iOS e Android.

“Sem clique” descreve a interação necessária, não uma infecção automática: a entrega ainda dependia do navegador e da versão do aparelho.

Como os sites levavam a campanha ao celular

A Sekoia identificou três caminhos: código JavaScript inserido em sites legítimos comprometidos, sites falsos que funcionavam como proxies reversos e a alteração do rastreador de análise da Plerdy, usado por outros sites. Em todos eles, o código examinava características do navegador e do aparelho antes de encaminhar uma possível cadeia de exploração.

O script UltimateFingerprinter reunia 394 campos com 61 coletores. A Sekoia descreveu como critérios básicos de entrega dimensões de tela implausíveis e zero pontos de toque. Assim, “sem clique” significava que não era necessária uma nova ação depois do carregamento da página, não que qualquer aparelho que a visitasse recebesse um exploit.

A Sekoia situa o comprometimento do rastreador da Plerdy entre 27 de agosto e 3 de setembro de 2026. A equipe diz que detectou a operação em meados de outubro, após encontrar uma inclusão maliciosa de JavaScript no site de uma empresa ucraniana de produção de gás.

Três cadeias para versões específicas

A tabela resume os alvos, as vulnerabilidades CVE citadas pela Sekoia e os objetivos atribuídos a cada cadeia. Na cadeia A, o filtro de entrega para iOS 16.7 e 16.7.10 é distinto da compatibilidade mais ampla que a Sekoia atribui ao exploit, de iOS 16.0 a 17.4.

Na cadeia Android, a Sekoia relata que a exploração parava ao identificar um Samsung Galaxy S25 Ultra. A distinção entre filtro e compatibilidade também importa para iOS: a faixa técnica mais ampla da cadeia A não significa que o servidor entregava o exploit a todas as versões nela incluídas.

O que a Sekoia concluiu sobre as falhas e o APT29

A Sekoia afirma que as vulnerabilidades usadas nas cadeias analisadas já tinham sido corrigidas pelos fornecedores antes da campanha. Portanto, segundo a empresa, essas cadeias não usaram falhas zero-day. A equipe também não encontrou persistência nos ataques que analisou.

A atribuição ao APT29 se baseia, segundo a Sekoia, em semelhanças técnicas, padrões operacionais, perfil das vítimas e infraestrutura. A equipe considera possível que a operação tenha sido conduzida por um subgrupo do APT29.