Rosyjska grupa APT29, powiązana z wywiadem zagranicznym (SVR), prowadzi szeroko zakrojoną kampanię szpiegowską typu watering hole. Ataki wymierzone są w użytkowników iPhone'ów oraz urządzeń z systemem Android, a ich celem jest kradzież ciasteczek sesyjnych, danych urządzenia oraz haseł do sieci Wi-Fi. Do infekcji wykorzystywane są luki typu n-day, które zostały już wcześniej załatane przez producentów, ale wciąż trafiają na nieaktualne urządzenia.
Atakujący stosują trzy główne drogi dostarczenia złośliwego kodu: wstrzykiwanie skryptów do legalnych witryn, wykorzystywanie domen podszywających się pod prawdziwe serwisy oraz kompromitację narzędzia analitycznego Plerdy, które jest zintegrowane z tysiącami stron, głównie ukraińskich. Ofiarami padają m.in. strony ukraińskich podmiotów wojskowych i energetycznych, amerykańskie stowarzyszenia branżowe oraz organizacje w Czechach i Bułgarii.
Mechanizm działania opiera się na fingerprimingu użytkowników, co pozwala na serwowanie odpowiednich łańcuchów exploitów dopasowanych do konkretnego modelu urządzenia. Wykorzystywane są m.in. luki w iOS (w tym iOS 16.7 oraz iOS 18.5) oraz w przeglądarce Chrome na Androidzie. Eksperci z Sekoia sugerują, że APT29 mogło pozyskać te exploity od zewnętrznego dostawcy komercyjnego oprogramowania szpiegowskiego.
Skuteczność tych ataków jest bezpośrednio uzależniona od stanu aktualizacji systemów operacyjnych. Użytkownicy korzystający z najnowszych wersji oprogramowania są bezpieczni przed tymi konkretnymi metodami, ponieważ wykorzystywane podatności są już znane i naprawione w aktualnych wydaniach.
