Wprowadzenie do problemu / definicja
Kampanie typu watering hole należą do najbardziej podstępnych technik cyberataków, ponieważ wykorzystują zaufanie użytkowników do legalnych stron internetowych. Zamiast nakłaniać ofiarę do kliknięcia w link phishingowy, napastnicy kompromitują odwiedzane serwisy lub ich zewnętrzne komponenty, a następnie dostarczają złośliwy kod bezpośrednio w przeglądarce.
W opisywanej operacji, wiązanej z grupą APT29, celem były urządzenia mobilne z systemami iOS oraz Android. Atak wyróżnia się połączeniem klasycznego watering hole, fałszywych domen oraz naruszenia łańcucha dostaw poprzez skrypt usługi analitycznej ładowany na stronach internetowych.
W skrócie
Badacze opisali wieloetapową kampanię, w której złośliwy JavaScript profilował urządzenie ofiary i dobierał odpowiedni łańcuch infekcji. Mechanizm pozwalał rozróżniać system operacyjny, wersję przeglądarki i inne cechy środowiska, a następnie decydował, czy uruchomić exploit.
- Na iOS możliwa była kradzież ciasteczek przeglądarki lub pełna eksfiltracja danych z urządzenia.
- Na Androidzie atak prowadził do przejęcia danych z Chrome oraz haseł Wi‑Fi.
- Istotnym elementem operacji była kompromitacja skryptu analitycznego wykorzystywanego przez zewnętrzne witryny.
Kontekst / historia
Operacja określana jako Poisoned Source została ujawniona w październiku 2026 roku. Z analizy wynika, że napastnicy stosowali trzy główne metody dostarczania ładunku: kompromitację legalnych witryn, wykorzystanie domen podszywających się pod wiarygodne serwisy oraz modyfikację zewnętrznego skryptu JavaScript pochodzącego z usługi analitycznej.
Dobór celów sugeruje działanie ukierunkowane, a nie masowe. Wśród potencjalnie zagrożonych witryn znajdowały się serwisy związane z polityką, przemysłem i tematyką wojskową, co wskazuje na możliwy komponent wywiadowczy oraz zainteresowanie użytkownikami o znaczeniu strategicznym.
Kampania wpisuje się również w szerszy trend wzrostu znaczenia mobilnych exploit chainów w operacjach sponsorowanych przez państwa. Coraz częściej atakujący łączą gotowe lub wcześniej obserwowane frameworki z przejętą infrastrukturą webową, obniżając koszt prowadzenia zaawansowanych działań ofensywnych.
Analiza techniczna
Atak rozpoczynał się od uruchomienia złośliwego loadera JavaScript w przeglądarce ofiary. Kod zbierał informacje o urządzeniu, wersji systemu operacyjnego, przeglądarce i prawdopodobnie dodatkowych parametrach telemetrycznych. Na tej podstawie infrastruktura operatora dobierała dalszy scenariusz ataku.
Badacze wskazali trzy główne klasy łańcuchów infekcji. Pierwsza była skierowana do urządzeń z iOS 16.7 i prowadziła do wdrożenia komponentu JavaScript służącego do kradzieży ciasteczek. Druga obejmowała iOS 18.5 i wykorzystywała bardziej rozbudowany łańcuch DarkSword, umożliwiający szeroką eksfiltrację danych z urządzenia. Trzecia klasa dotyczyła Androida z wybranymi wersjami Chrome i obejmowała zdalne wykonanie kodu, ucieczkę z sandboxa oraz eskalację uprawnień, po czym wdrażano komponent określany jako AndroSnitch.
Zakres danych dostępnych po skutecznej kompromitacji urządzeń Apple był bardzo szeroki. Obejmował wiadomości SMS i iMessage, wybrane bazy pocztowe, pocztę głosową, dane komunikatorów, kontakty, historię połączeń, historię Safari, cookies, zdjęcia, hasła Wi‑Fi oraz dane z natywnych aplikacji systemowych. Na Androidzie nacisk położono przede wszystkim na dane przeglądarki Chrome i informacje sieciowe, bez utrzymywania trwałej persystencji.
Istotnym elementem infrastruktury był centralny endpoint telemetryczny wykorzystywany do przesyłania wykradzionych danych. Taki model ułatwia operatorom korelację zdarzeń i zarządzanie kampanią, a jednocześnie wskazuje na wysoki poziom dojrzałości operacyjnej. Zwraca uwagę również selektywna logika działania malware, w tym przypadki celowego przerywania eksploatacji na określonych modelach urządzeń, co mogło służyć ograniczeniu niestabilności i zmniejszeniu ryzyka wykrycia.
Konsekwencje / ryzyko
Najważniejsza konsekwencja takich działań polega na tym, że użytkownik może zostać zainfekowany bez pobierania plików i bez interakcji z podejrzanym komunikatem. Samo wejście na zaufaną stronę może wystarczyć do uruchomienia całego łańcucha ataku.
Dla organizacji ryzyko jest szczególnie wysokie, ponieważ urządzenia mobilne często mają dostęp do poczty służbowej, komunikatorów, tokenów sesyjnych i danych uwierzytelniających. Kradzież cookies może otworzyć drogę do przejęcia aktywnych sesji bez potrzeby poznania hasła. Z kolei kompromitacja zewnętrznego skryptu analitycznego pokazuje, że nawet dobrze zarządzana witryna może stać się wektorem ataku przez zależności third-party.
Najbardziej narażone pozostają sektory o podwyższonej wrażliwości, takie jak administracja publiczna, obronność, infrastruktura krytyczna oraz podmioty uczestniczące w procesach geopolitycznych. W ich przypadku stawką jest nie tylko wyciek danych osobowych, ale także utrata komunikacji operacyjnej, danych lokalizacyjnych i materiałów o znaczeniu strategicznym.
Rekomendacje
Organizacje powinny ograniczyć zaufanie do zewnętrznych skryptów ładowanych z domen partnerów, dostawców analityki, reklam i narzędzi marketingowych. Konieczny jest pełny inwentarz zależności JavaScript oraz regularna ocena ich krytyczności i bezpieczeństwa.
- Wdrażać mechanizmy integralności zasobów i restrykcyjne polityki ładowania treści.
- Szybko aktualizować iOS, Android oraz przeglądarki mobilne.
- Monitorować nietypowe odwołania do zewnętrznych skryptów, ukryte iframe’y i dynamiczne przekierowania.
- Analizować ruch wychodzący do nieznanych endpointów telemetrycznych.
- Weryfikować, czy firmowe witryny nie korzystają z przejętych, wygasłych lub skompromitowanych domen dostawców.
W środowiskach wysokiego ryzyka warto dodatkowo rozważyć segmentację urządzeń mobilnych, wdrożenie rozwiązań MTD lub mobilnego EDR, ograniczenie użycia prywatnych urządzeń do dostępu do zasobów krytycznych oraz wymuszanie ponownego uwierzytelnienia po wykryciu potencjalnej kradzieży sesji.
Jeżeli istnieje podejrzenie ekspozycji, incydent należy traktować jak możliwą kompromitację całego urządzenia, a nie wyłącznie przeglądarki. Oznacza to potrzebę unieważnienia sesji, rotacji poświadczeń, analizy artefaktów sieciowych i oceny zakresu możliwej eksfiltracji danych.
Podsumowanie
Kampania powiązana z APT29 pokazuje, że ataki mobile-first stają się coraz bardziej dojrzałe i skuteczne. Połączenie watering hole, kompromitacji łańcucha dostaw oraz zaawansowanych exploit chainów dla iOS i Androida znacząco zwiększa skuteczność operacji i utrudnia jej wykrycie.
Dla obrońców to wyraźny sygnał, że przeglądanie internetu na smartfonie należy traktować jako pełnoprawny wektor wejścia do organizacji. Skuteczna ochrona wymaga więc nie tylko szybkiego łatania urządzeń mobilnych, ale również znacznie ściślejszej kontroli nad skryptami pochodzącymi od zewnętrznych dostawców.
Źródła
- The Hacker News — APT29-Linked Hackers Hijack Web Analytics Script to Deliver iOS and Android Exploits — https://thehackernews.com/2026/11/apt29-linked-hackers-hijack-web.html
- Sekoia — technical report on Poisoned Source campaign — https://www.sekoia.com
- iVerify — analysis of DarkSword P7 activity — https://www.iverify.com
- Report URI Blog — research on ad-based and tag-based delivery chains — https://blog.report-uri.com
- Zimperium zLabs — analysis of Coruna and DarkSword distribution infrastructure — https://zimperium.com