Francuska firma Sekoia opublikowała raport o operacji Poisoned Source, za którą prawdopodobnie stoi rosyjska grupa APT29. Atak polegał na wykorzystaniu luk w systemach iOS oraz Android poprzez złośliwy kod JavaScript umieszczany na legalnych witrynach. Napastnicy przejęli również ukraińską usługę analityczną Plerdy, co pozwoliło im zainfekować użytkowników setek serwisów bez ich wiedzy.
Mechanizm ataku typu drive-by download nie wymagał od użytkownika pobierania plików czy zatwierdzania instalacji. Skrypt po wejściu na stronę zbierał informacje o urządzeniu, a następnie serwer napastników dobierał odpowiedni exploit. Wykorzystywano luki w iOS 16.7, iOS 18.5 (zestaw DarkSword) oraz w starszych wersjach przeglądarki Chrome na Androidzie.
Skutki infekcji były dotkliwe, zwłaszcza w najbardziej zaawansowanych wariantach. Hakerzy mogli wykraść pliki cookies, wiadomości SMS i iMessage, bazy danych komunikatorów WhatsApp i Telegram, hasła, kontakty, zdjęcia oraz dane lokalizacyjne. Celem operacji wydawało się cyberszpiegostwo, szczególnie w kontekście instytucji wojskowych i politycznych w Ukrainie, Czechach i Bułgarii.
Badacze podkreślają, że wszystkie wykorzystane luki zostały załatane przed rozpoczęciem kampanii. Skuteczność ataku zależała wyłącznie od tego, czy użytkownik posiadał aktualne oprogramowanie systemowe i przeglądarkę. Mechanizmy te nie były skuteczne wobec w pełni zaktualizowanych urządzeń.
