Rosyjska grupa APT29, powiązana z wywiadem SVR, prowadzi zaawansowaną kampanię typu watering hole wymierzoną w użytkowników systemów iOS oraz Android. Ataki opierają się na wykorzystywaniu znanych, już załatanych podatności (n-day) poprzez trzy główne wektory: bezpośrednią wstrzykiwanie JavaScriptu na legalnych stronach, domeny podszywające się pod znane serwisy oraz atak na łańcuch dostaw ukraińskiego narzędzia analitycznego Plerdy.
Ofiarami padają m.in. strony firm z sektora gazowego, organizacji wojskowych oraz instytucji politycznych. Atakujący wykorzystują specjalistyczne zestawy exploitów, takie jak DarkSword, aby bez interakcji użytkownika przejąć dostęp do wrażliwych danych. W przypadku iOS celem są wiadomości (WhatsApp, Telegram, iMessage), hasła z Keychain oraz dane lokalizacyjne. Na Androidzie hakerzy skupiają się na plikach cookie przeglądarki Chrome, historii przeglądania i hasłach do sieci Wi-Fi.
Kluczowym wnioskiem z raportu Sekoia jest fakt, że wszystkie wykorzystywane luki zostały już naprawione. Skuteczna ochrona przed tą kampanią sprowadza się do utrzymywania systemów operacyjnych oraz przeglądarek w najnowszych, zaktualizowanych wersjach.
