Francuska firma Sekoia przypisała szeroko zakrojoną operację szpiegowską grupie APT29, znaną również jako Cozy Bear lub Midnight Blizzard. Ataki wymierzone były w użytkowników iPhone'ów oraz urządzeń z systemem Android w Ukrainie, Stanach Zjednoczonych oraz w Europie. Celem hakerów była kradzież haseł, wiadomości, e-maili oraz danych przeglądarki.
Napastnicy stosowali różnorodne metody dotarcia do ofiar, w tym infekowanie legalnych witryn, tworzenie fałszywych stron internetowych oraz przejęcie ukraińskiej usługi analityki internetowej Plerdy. W przypadku usługi Plerdy, złośliwy kod w skrypcie śledzącym mógł narazić na niebezpieczeństwo użytkowników setek stron, w tym witryn związanych z ukraińskim wojskiem i producentami dronów.
W atakach na starsze iPhone'y z iOS 16 hakerzy skupiali się na kradzieży ciasteczek przeglądarki i aplikacji. Bardziej zaawansowane uderzenia w urządzenia z iOS 18.5 wykorzystywały narzędzie DarkSword, które pozwalało na ekstrakcję bardzo wrażliwych danych, takich jak zdjęcia, kontakty czy historia lokalizacji. Co istotne, ataki nie wymagały od użytkownika żadnej interakcji, co klasyfikuje je jako operacje typu zero-click.
Badania wykazały, że hakerzy nie wykorzystywali nieznanych wcześniej luk typu zero-day. Cała kampania opierała się na znanych podatnościach, które zostały już naprawione przez Apple i Google. Oznacza to, że urządzenia z najnowszymi aktualizacjami systemów operacyjnych pozostają bezpieczne przed tymi konkretnymi metodami.
