O grupo de ameaça ligado à Rússia conhecido como APT29 (grupo de ameaças persistentes avançadas) é apontado como responsável por uma campanha em larga escala do tipo watering hole, que visa usuários de iOS e Android por meio de sites comprometidos, domínios falsos e um ataque à cadeia de suprimentos envolvendo o serviço ucraniano de análise web Plerdy SEO Tracker.
“O código JavaScript injetado coleta atributos do navegador e do dispositivo”, afirmaram os pesquisadores da Sekoia, Amaury-Jacques Garçon e Félix Aime, em um relatório técnico compartilhado com o The Hacker News. “Em seguida, a infraestrutura de entrega distribui uma cadeia de explorações do tipo N-day (que aproveita vulnerabilidades já divulgadas, mas ainda não corrigidas) específica para cada plataforma, voltada para iOS ou Android.”
O objetivo final dos ataques é entregar cargas maliciosas capazes de roubar cookies do navegador e, em alguns casos, senhas de Wi-Fi ou todos os dados do dispositivo móvel. A atividade, batizada com o codinome Poisoned Source, foi descoberta pela empresa francesa de cibersegurança em meados de outubro de 2026.
Um aspecto marcante da campanha é o uso de três vetores de infecção:
- Comprometimento de sites legítimos para injetar JavaScript malicioso;
- Sites falsos que se passam por páginas de grande destaque nos EUA (“america250[.]holiday”), na Ucrânia, na República Tcheca e na Bulgária;
- Comprometimento da cadeia de suprimentos do Plerdy SEO Tracker entre 27 de agosto e 3 de setembro de 2026, com a injeção de código malicioso em “a.plerdy[.]com/public/js/click/main.js”.
Alguns dos sites comprometidos pertencem a uma importante associação setorial que representa empresas norte-americanas do setor químico, a um partido político europeu de extrema direita e a um site ligado às forças militares búlgaras. Suspeita-se que a campanha de watering hole possa ter sido desenhada para atingir indivíduos específicos, e não para um esforço amplo.
“Permanece incerto se os atacantes pretendiam atingir visitantes de sites específicos ou se buscavam comprometer o maior número possível de dispositivos móveis sem correção, extraindo dados indiscriminadamente antes de selecionar e explorar as informações de interesse”, disse a Sekoia.
“No entanto, vários desses sites provavelmente atraem visitantes de alto valor ou com importância estratégica no contexto da guerra entre Rússia e Ucrânia. Esse ataque à cadeia de suprimentos se espalhou por alvos de alto valor, como sites de exército, forças especiais e equipamentos militares, incluindo veículos balísticos e UAV (veículos aéreos não tripulados).”
Independentemente do método empregado, todos os caminhos levam à mesma carga maliciosa: um carregador JavaScript que perfila o dispositivo e o navegador do visitante e, em seguida, entrega o malware adequado para a etapa seguinte. Para usuários de iOS, o caminho leva a um kit de exploração chamado DarkSword, usado para coletar cookies e todos os dados do dispositivo.
No Android, o malware é projetado para extrair dados do Chrome e senhas de Wi-Fi sem estabelecer persistência no aparelho. Foram identificadas pelo menos três explorações diferentes:
- Classe A, que tem como alvo dispositivos iOS com iOS 16.7 e explora a CVE-2025-43529 (a mesma vulnerabilidade explorada pelo DarkSword) e a CVE-2024-27834 (vulnerabilidades e exposições comuns, identificadores públicos de falhas de segurança) para entregar um malware JavaScript de roubo de cookies.
- Classe B, que tem como alvo dispositivos iOS com iOS 18.5 e explora a cadeia de explorações do DarkSword, composta pelas CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520, para entregar um malware JavaScript de extração completa de dados do dispositivo. Isso inclui mensagens de SMS (serviço de mensagens curtas) e iMessages; os bancos de dados SQLite Envelope Index e Protected Index do Apple Mail; mensagens de voz; bancos de dados do WhatsApp e do Telegram; chaveiro do iCloud e senhas de Wi-Fi; contatos; histórico de chamadas; histórico de navegação e cookies do Safari; fotos; e dados do Apple Health, Calendário, Notas e iCloud Drive.
- Classe C, que tem como alvo dispositivos Android com versões do Chrome entre a 139 e a 145 (excluindo explicitamente a versão 143, por motivos que ainda são desconhecidos) e explora a CVE-2026-3910 e a CVE-2025-27038 para obter execução remota de código, fuga do sandbox (ambiente isolado de execução), escalonamento de privilégios e, por fim, entregar o AndroSnitch para coletar dados do Chrome e senhas de Wi-Fi.
Nos três casos, os dados extraídos são enviados ao endpoint “ad.starx-net[.]com:8881/telemetry/v12”. A cadeia de ataque ao Android inclui uma verificação para determinar se o dispositivo visado é um Samsung Galaxy S25 Ultra, analisando seu identificador de modelo (SM-S938B). Se o dispositivo corresponder, a exploração é interrompida.
O nome AndroSnitch faz referência às suas semelhanças com o ANDROSNATCH, um payload de roubo de cookies do Chrome que o Google documentou em agosto de 2024, em conexão com uma suspeita de campanha de watering hole do APT29. Naquela ocasião, usuários Android que visitavam um site do governo da Mongólia eram alvos de uma cadeia de exploração do Chrome envolvendo as CVE-2024-5274 e CVE-2024-4671.
“Essa operação também confirma o reaproveitamento contínuo de CSV (fornecedores comerciais de vigilância) e de frameworks de exploração móvel, como o DarkSword, por conjuntos de intrusão patrocinados por Estados”, disse a Sekoia. “A adoção de cadeias de exploração N-day empacotadas reduz o custo e a barreira técnica necessários para realizar explorações móveis avançadas.”
Kits Coruna e DarkSword evoluem
A novidade surge semanas depois de a iVerify e a Report URI detalharem a variante P7 do DarkSword, distribuída por meio de ataques de “meio clique”, que aproveitam infraestrutura de anúncios. Em um dos casos, a exploração teria sido propagada por um anúncio malicioso no Instagram, com tema da Copa do Mundo, servido a partir de “ad-track[.]live”.
A outra via faz parte de uma campanha criminosa chamada DeadTag, na qual os atacantes adquirem domínios expirados por trás de antigas tags de análise e publicidade que ainda são carregadas por milhares de sites. A ideia é servir JavaScript malicioso a visitantes com iPhone e fazer o script executar as ordens do atacante de forma silenciosa.
“Ele verifica quem está visitando”, afirmou a Report URI. “Mecanismos de busca, scanners de segurança, navegadores automatizados e qualquer outra coisa que pareça um bot não recebem nada.”
Em seguida, o script interage com o servidor do atacante, que decide para qual destino cada visitante deve ser redirecionado. Os caminhos de exploração para iPhone que se valem do DeadTag levam ao kit de exploração Coruna, para iPhones mais antigos com versões do iOS entre a 13 e a 17.2.1, e ao DarkSword P7, para dispositivos iOS entre a 18.4 e a 18.7.
“Não são páginas de phishing nem downloads de aplicativos falsos; ambos os kits atacam o próprio navegador”, disse Scott Helme, da Report URI. “Basta abrir a página para que o dispositivo seja comprometido. Não há nada para tocar, você não precisa clicar em nenhum link, não há nada para instalar e nenhum aviso. Se o iPhone estiver executando uma versão vulnerável do iOS, o kit sai do navegador e instala spyware no aparelho.”
Outros esquemas levam a redirecionamentos falsos para o Google, páginas de cadastro de apostas e cassinos fraudulentos, anúncios de busca para ofertas de carros e dentistas, além de pesquisas falsas e páginas de “você ganhou” prêmios. Mais de 660 domínios expirados e registrados novamente fazem parte da rede DeadTag.
De acordo com uma análise publicada pela Zimperium zLabs, as campanhas que distribuem os kits de exploração Coruna e DarkSword continuaram a evoluir, com 608 domínios entregando código da família Coruna até outubro de 2026.
Embora o Coruna tenha sido inicialmente desenvolvido por um ator estatal para operações altamente direcionadas, o vazamento posterior à divulgação inicial tornou o conjunto de ferramentas amplamente acessível a múltiplos grupos de ameaça para suas próprias campanhas.
Em muitos casos, constatou-se que as páginas de isca instruem explicitamente os visitantes a sair do navegador interno de aplicativos ou de outro navegador alternativo no iOS e abrir o link no Safari, de modo a acionar a cadeia de exploração de acordo com o sistema operacional do dispositivo.
“Alvos com iOS 17.2.1 ou anterior recebem o framework Coruna legado (que apresenta payloads JavaScript idênticos byte a byte em várias configurações recuperadas)”, disse o pesquisador de segurança Santiago Rodriguez. “Por outro lado, dispositivos com versões mais recentes do iOS recebem uma cadeia de execução derivada do DarkSword.”
“A área de distribuição analisada abrange portais de relacionamento, plataformas de companhia com IA, promoções de criptomoedas, serviços de streaming de mídia e, em vários casos, sites legítimos comprometidos que servem o kit por meio de iframes ocultos.”
