Rosyjska grupa APT29 prowadzi zaawansowaną kampanię typu watering hole, wymierzoną w użytkowników urządzeń mobilnych. Atak wykorzystuje trzy główne wektory: infekcję legalnych stron internetowych, fałszywe domeny podszywające się pod znane serwisy oraz atak na łańcuch dostaw ukraińskiego narzędzia Plerdy SEO Tracker. Napastnicy wstrzyknęli złośliwy kod JavaScript do skryptu analitycznego, co pozwala na profilowanie urządzeń odwiedzających zainfekowane strony.
Po zidentyfikowaniu celu, infrastruktura dostarcza gotowe łańcuchy exploitów typu N-day. W przypadku iOS wykorzystywany jest zestaw DarkSword, który pozwala na kradzież danych z aplikacji takich jak WhatsApp, Telegram, czy iCloud Keychain, a także wiadomości SMS i iMessage. Atakujący celują w użytkowników iOS 18.5, wykorzystując szereg luk, m.in. CVE-2025-43529 i CVE-2026-20700.
Użytkownicy Androida są atakowani za pomocą exploita Class C, który celuje w przeglądarkę Chrome (wersje 139–145). Atak pozwala na zdalne wykonanie kodu i ucieczkę z piaskownicy, co prowadzi do instalacji malware AndroSnitch. Narzędzie to służy do kradzieży danych z Chrome oraz haseł do sieci Wi-Fi. Co ciekawe, atak jest inteligentny i przerywa działanie, jeśli wykryje, że urządzeniem jest Samsung Galaxy S25 Ultra.
Kampania ma charakter wysoce selektywny, celując w osoby o znaczeniu strategicznym, m.in. w sektorze wojskowym i politycznym. Wykorzystywane są również techniki typu DeadTag, polegające na przejmowaniu wygasłych domen z dawnymi tagami reklamowymi, co pozwala na ciche infekowanie urządzeń bez konieczności interakcji użytkownika z phishingową stroną.
