Kradzież danych za pomocą exploitów zero-click na systemy Android i iOS

Grupa APT29, znana również jako Midnight Blizzard lub Cozy Bear, przeprowadziła szeroko zakrojoną kampanię typu watering hole wymierzoną w użytkowników systemów Android oraz iOS.

Ataki koncentrowały się na stronach internetowych o wysokim profilu, należących do firm, wojska oraz agencji rządowych w Ukrainie, Bułgarii, Republice Czeskiej i Stanach Zjednoczonych. Rosyjscy cyberprzestępcy wykorzystywali trzy wektory infekcji: przejęte witryny, fałszywe strony oraz łańcuch dostaw, w tym zainfekowaną wersję Plerdy SEO Tracker. W przypadku przejętych stron wstrzykiwano kod JavaScript, który pobierał złośliwe oprogramowanie po odwiedzeniu witryny. Stosowano również ataki Adversary-in-the-Middle, przechwytując ruch za pomocą odwrotnego serwera proxy.

Wykorzystano trzy łańcuchy exploitów opierające się na podatnościach n-day, które nie wymagają interakcji użytkownika. Pierwszy łańcuch wykorzystywał luki CVE-2025-43529 i CVE-2024-27834 w systemie iOS do kradzieży plików cookie z przeglądarki Safari. Drugi łańcuch, obejmujący luki CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 i CVE-2025-43520 w iOS, służył do kradzieży wiadomości, poczty elektronicznej, kontaktów, haseł, historii połączeń, lokalizacji i zdjęć. Trzeci łańcuch wykorzystywał luki CVE-2026-3910 i CVE-2025-27038 w przeglądarce Chrome na Androidzie do kradzieży haseł Wi-Fi, historii i plików cookie.

Ataki nie ustanawiają trwałości w systemie, co oznacza, że restart urządzenia przerywa działanie exploitów. Zaleca się instalację najnowszych aktualizacji bezpieczeństwa systemów operacyjnych i przeglądarek.