APT29 использовала скрипт Plerdy для атак на iOS и Android
Связанная с Россией группировка APT29 провела кампанию Poisoned Source, в которой задействовала скомпрометированные сайты, домены-двойники и заражённый скрипт украинского сервиса веб-аналитики Plerdy SEO Tracker. По данным Sekoia, вредоносный код находился в файле main.js на инфраструктуре Plerdy с 27 августа по 3 сентября 2026 года и доставлял отдельные цепочки эксплойтов для iOS и Android.
Внедрённый JavaScript собирал сведения о браузере и устройстве посетителя. Затем управляющая инфраструктура выбирала подходящий сценарий атаки. Конечной целью было похищение browser cookies, а в отдельных случаях — паролей Wi‑Fi и полного набора данных мобильного устройства.
Три пути к вредоносному загрузчику
Sekoia выявила три вектора заражения: внедрение JavaScript на легитимные сайты, сайты-двойники известных ресурсов в США, Украине, Чехии и Болгарии, а также компрометацию цепочки поставки Plerdy SEO Tracker. Среди затронутых ресурсов исследователи назвали сайт крупной отраслевой ассоциации химической промышленности США, сайт европейской политической партии и болгарский ресурс военной тематики.
Исследователи допускают, что операция могла быть нацелена на конкретных посетителей, а не на массовый сбор данных. Часть скомпрометированных сайтов привлекает аудиторию, представляющую стратегический интерес в контексте войны России против Украины, включая ресурсы об армии, спецподразделениях и военной технике.
Какие устройства и данные были целью
Для iOS специалисты описали два класса атак. Class A был рассчитан на iOS 16.7 и использовал CVE-2025-43529 и CVE-2024-27834 для доставки JavaScript-модуля кражи cookies. Class B нацелен на iOS 18.5: цепочка DarkSword включала CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 и CVE-2025-43520.
В сценарии DarkSword злоумышленники могли выгружать SMS и iMessage, базы Apple Mail, голосовую почту, данные WhatsApp и Telegram, iCloud Keychain, пароли Wi‑Fi, контакты, историю звонков, историю и cookies Safari, фотографии, а также сведения из Apple Health, Calendar, Notes и iCloud Drive.
Class C предназначался для Android с Chrome версий с 139 по 145, кроме версии 143. Он использовал CVE-2026-3910 и CVE-2025-27038 для удалённого выполнения кода, выхода из песочницы и повышения привилегий, после чего доставлял модуль AndroSnitch. Этот модуль собирал данные Chrome и пароли Wi‑Fi, не закрепляясь в системе. Для всех трёх классов данные отправлялись на один endpoint телеметрии.
Что важно проверить компаниям
Этот случай показывает, что сторонние скрипты аналитики входят в поверхность атаки сайта наравне с собственным кодом. Компаниям стоит учитывать внешние теги в инвентаризации, контролировать изменения подключаемых JavaScript-файлов и оценивать, какие сервисы получают доступ к посетителям корпоративных и тематических ресурсов.
Отдельное значение имеет своевременное обновление iOS, Android и Chrome: описанная инфраструктура выбирала эксплойт по параметрам устройства и браузера. Для организаций практический вывод состоит в том, что защита мобильных пользователей должна включать контроль сторонних веб-зависимостей, обновление клиентских платформ и мониторинг необычной загрузки скриптов на сайтах.