Wprowadzenie do problemu / definicja
Atak typu watering hole polega na przejęciu zaufanej witryny internetowej lub przygotowaniu jej wiarygodnej imitacji w taki sposób, aby infekować użytkowników odwiedzających daną stronę. W opisywanej kampanii rosyjska grupa APT29 wykorzystała ten model do profilowania urządzeń mobilnych, a następnie do selektywnego kierowania ofiar do infrastruktury dostarczającej exploity dla iPhone’ów i smartfonów z Androidem.
To ważny sygnał dla rynku bezpieczeństwa, ponieważ pokazuje, że urządzenia mobilne są dziś pełnoprawnym celem operacji wywiadowczych. Smartfon przestał być dodatkiem do środowiska IT, a stał się nośnikiem komunikacji, danych uwierzytelniających i dostępu do systemów firmowych.
W skrócie
- Kampania była przypisywana grupie APT29, znanej także jako Cozy Bear, Midnight Blizzard i The Dukes.
- Atakujący wykorzystywali przejęte legalne strony, domeny lookalike oraz element kompromitacji łańcucha dostaw związany ze skryptem analitycznym.
- Złośliwy JavaScript służył do fingerprintingu urządzeń i selekcji ofiar.
- Wybrane cele były przekierowywane do odpowiedniej infrastruktury exploitów dla iOS i Androida.
- Celem operacji było pozyskanie danych o wysokiej wartości, w tym komunikacji, haseł, tokenów i danych osobistych.
Kontekst / historia
APT29 od lat pozostaje jedną z najlepiej rozpoznanych grup powiązanych z rosyjskimi operacjami wywiadowczymi. Formacja ta była wielokrotnie łączona z długotrwałymi, skrytymi kampaniami wymierzonymi w administrację publiczną, dyplomację, sektor badawczy, ochronę zdrowia oraz firmy technologiczne.
W analizowanej operacji nie było jednego prostego wzorca doboru ofiar. Wśród przejętych lub podszywanych serwisów miały znajdować się podmioty z różnych branż, a geograficznie szczególnie widoczne były powiązania z Ukrainą oraz Stanami Zjednoczonymi. Taki rozrzut sugeruje model szerokiego pozyskiwania dostępu i danych, po którym następuje identyfikacja celów o najwyższej wartości operacyjnej.
Analiza techniczna
Kampania miała charakter wieloetapowy. Pierwszym krokiem było osadzenie złośliwego kodu JavaScript na legalnych, skompromitowanych stronach albo dostarczenie go z domen kontrolowanych przez atakujących, które naśladowały prawdziwe serwisy. Kod nie musiał od razu infekować urządzenia. Jego głównym zadaniem był fingerprinting, czyli zebranie informacji o modelu urządzenia, przeglądarce, systemie operacyjnym i środowisku uruchomieniowym.
Na podstawie tych danych infrastruktura atakującego mogła ocenić, czy dany użytkownik jest wart dalszej eksploatacji i jaki łańcuch exploitów daje największą szansę powodzenia. Takie podejście ogranicza ekspozycję narzędzi ofensywnych, utrudnia wykrycie i pozwala oszczędzać najbardziej zaawansowane exploity dla wyselekcjonowanych ofiar.
W opisywanej kampanii można wyróżnić trzy główne wektory infekcji:
- kompromitację legalnych witryn i wstrzyknięcie do nich złośliwego kodu,
- wykorzystanie domen lookalike dynamicznie podszywających się pod znane serwisy,
- kompromitację elementu łańcucha dostaw poprzez skrypt analityczny używany przez wiele stron.
Najbardziej niebezpieczny był wariant związany z łańcuchem dostaw. Jeśli złośliwy kod trafia do zewnętrznego skryptu ładowanego przez dużą liczbę witryn, potencjalna skala ekspozycji rośnie bardzo szybko. Użytkownik nie musi pobierać aplikacji ani odwiedzać oczywiście podejrzanego adresu. Wystarczy wejście na zaufany portal korzystający ze skompromitowanego zasobu.
Po zakończeniu fingerprintingu zebrane dane były przekazywane do infrastruktury C2, która dobierała kolejne etapy ataku zależnie od platformy i wersji oprogramowania. W przypadku podatnych urządzeń z iOS wykorzystywano określone luki i bardziej rozbudowane łańcuchy exploitów. Możliwym efektem była kradzież cookies przeglądarki lub znacznie szersza ekstrakcja danych z urządzenia.
Zakres potencjalnie przejmowanych informacji obejmował między innymi wiadomości SMS i iMessage, pocztę głosową, treści z komunikatorów, zapisane hasła, tokeny uwierzytelniające, historię połączeń, kontakty, kalendarze, notatki i zdjęcia. To pokazuje, że stawką nie była jedynie jednorazowa infekcja, ale pełne rozpoznanie cyfrowego życia ofiary.
Istotny jest także wątek możliwego pozyskiwania zdolności mobilnej eksploatacji od podmiotów trzecich, w tym komercyjnych dostawców technologii nadzoru. W praktyce oznacza to obniżenie bariery wejścia dla aktorów państwowych i zwiększenie ryzyka ponownego użycia podobnych łańcuchów exploitów w kolejnych operacjach.
Konsekwencje / ryzyko
Skutki takich kampanii są poważne zarówno dla użytkowników indywidualnych, jak i dla organizacji. Smartfon przechowuje dziś dane logowania, historię komunikacji, dostęp do poczty, aplikacji biznesowych, mechanizmów MFA oraz informacji lokalizacyjnych. Jego kompromitacja może więc prowadzić nie tylko do naruszenia prywatności, ale też do przejęcia dostępu do środowisk korporacyjnych.
Z perspektywy przedsiębiorstw szczególnie niebezpieczne są następujące scenariusze:
- kradzież tokenów sesyjnych i obejście części mechanizmów uwierzytelniania,
- przejęcie komunikacji służbowej prowadzonej przez e-mail i komunikatory,
- pozyskanie kontaktów, harmonogramów i danych operacyjnych,
- wykorzystanie telefonu jako punktu wejścia do dalszych działań wywiadowczych,
- trudności w detekcji, ponieważ atak uruchamia się z poziomu przeglądarki i legalnie odwiedzanej strony.
Dodatkowym problemem jest brak konieczności stosowania klasycznego phishingu. Ofiara nie musi otwierać załącznika ani instalować podejrzanego pliku. Samo odwiedzenie strony z osadzonym skryptem może wystarczyć do uruchomienia łańcucha ataku, co znacząco utrudnia obronę opartą wyłącznie na szkoleniu użytkowników.
Rekomendacje
Organizacje powinny traktować bezpieczeństwo urządzeń mobilnych jako integralną część ochrony punktów końcowych. W praktyce wymaga to jednoczesnego działania na poziomie systemów, przeglądarek, infrastruktury webowej oraz kontroli dostępu.
- Utrzymywać rygorystyczne zarządzanie poprawkami dla iOS, Androida i przeglądarek mobilnych.
- Monitorować skrypty third-party, polityki bezpieczeństwa treści oraz domeny ładowane przez serwisy internetowe.
- Wdrażać rozwiązania MDM, MAM lub EMM do egzekwowania minimalnych wersji systemu i izolacji danych służbowych.
- Uwzględniać urządzenia mobilne w procesach SOC i threat intelligence, w tym w analizie wskaźników kompromitacji oraz anomalii sesyjnych.
- Skracać czas życia tokenów, wymuszać ponowną autoryzację i segmentować dostęp do zasobów firmowych.
- Oddzielać konta uprzywilejowane od codziennej pracy wykonywanej na urządzeniach mobilnych.
Podsumowanie
Kampania przypisywana APT29 pokazuje, że mobilne operacje cyberszpiegowskie weszły w fazę dużej dojrzałości i skali. Połączenie techniki watering hole, domen podszywających się pod legalne serwisy, kompromitacji elementu łańcucha dostaw oraz selektywnego dostarczania exploitów tworzy model ataku trudny do wykrycia i bardzo skuteczny z perspektywy wywiadowczej.
Dla organizacji wniosek jest jednoznaczny: smartfon należy dziś traktować jako jeden z najcenniejszych i najbardziej narażonych punktów końcowych. Bez dojrzałej strategii ochrony urządzeń mobilnych nawet dobrze zabezpieczone środowisko może zostać naruszone przez pozornie zwyczajne odwiedzenie zaufanej strony internetowej.
Źródła
- Dark Reading — APT29’s Watering Holes Target Thousands of Mobile Users — https://www.darkreading.com/mobile-security/apt29-watering-holes-target-mobile-users
- NVD — CVE-2025-43529 — https://nvd.nist.gov/vuln/detail/CVE-2025-43529
- NVD — CVE-2024-27834 — https://nvd.nist.gov/vuln/detail/CVE-2024-27834
- CISA — Russian Foreign Intelligence Service (SVR) Cyber Actors — https://www.cisa.gov/