Een grootschalige watering hole-campagne van Russische hackers richt zich op iOS- en Android-gebruikers via gecompromitteerde en nepwebsites met n-day exploits.
Een grootschalige watering hole-aanval, toegeschreven aan de Russische APT29-groep, heeft iOS- en Android-gebruikers als doelwit. Hierbij worden bezoekers van gecompromitteerde of nagemaakte websites zonder enige gebruikersinteractie aangevallen met platform-specifieke n-day exploitketens.
De campagne maakte gebruik van meerdere hoog aangeschreven websites in de Verenigde Staten, Oekraïne, Tsjechië en Bulgarije, die dezelfde schadelijke payload leverden om bezoekers en hun apparaten te profileren. Dit stelde de aanvallers in staat om de browserversie te bepalen en vervolgens de juiste exploitketen te activeren. Onderzoekers van cybersecuritybedrijf Sekoia koppelen de operatie met een matige tot hoge mate van zekerheid aan APT29, ook bekend als Midnight Blizzard, een Russische dreigingsactor die eerder in verband werd gebracht met aanvallen op hotel-wifi-netwerken.
De gecompromitteerde legitieme sites behoren onder meer tot een Oekraïense gasproducent, een Amerikaanse branchevereniging voor de chemische industrie en een Bulgaars militair gerelateerd domein. Daarnaast werden lookalike-domeinen ingezet die officiële sites zoals America250 en Raffles London bij The OWO hotel imiteerden, waarbij content van de echte sites werd doorgestuurd in een man-in-the-middle-aanval. Ook werd de Oekraïense webanalyse-service Plerdy gecompromitteerd, waarvan de SEO-tracker door duizenden websites, vooral in Oekraïne, werd geladen tussen 27 augustus en 3 september.
In alle gevallen bestond de initiële payload uit JavaScript-code die bezoekers profilde om hun apparaat- en browserversies te bepalen. Vervolgens stuurde een command-and-control-server de juiste exploitketen naar het slachtoffer. De aanvallers maakten gebruik van meerdere kwetsbaarheden in iOS en Android om cookies, databases van berichtendiensten en inloggegevens te stelen. Voor iOS betroffen dit onder andere CVE-2025-43529 en CVE-2024-27834 in iOS 16.7, waarbij Safari-cookies werden buitgemaakt, en een reeks kwetsbaarheden in iOS 18.5 die toegang gaven tot WhatsApp- en Telegram-databases, Keychain-gegevens, locatiegegevens en foto’s. Op Android werden kwetsbaarheden in Chrome (versies 139 tot 145, met uitzondering van 143) misbruikt om met behulp van AndroSnitch cookies, inloggegevens, browsegeschiedenis en opgeslagen wifi-gegevens te verzamelen.
Volgens Sekoia zijn sommige van deze kwetsbaarheden gekoppeld aan het “DarkSword” exploitkit, die sinds maart bekend is en sinds november 2025 door meerdere dreigingsgroepen wordt ingezet. De payloads die APT29 gebruikte, zorgden niet voor persistente aanwezigheid op de apparaten, waardoor een herstart van het toestel de kwaadaardige activiteiten tijdelijk stopzet totdat opnieuw een gecompromitteerde site wordt bezocht. De toewijzing aan APT29 is gebaseerd op overeenkomsten met eerdere watering hole-operaties, infrastructuur-overlap en een gecompromitteerde site die gelinkt is aan een campagne uit 2025.
Apple en Google hebben inmiddels patches uitgebracht voor alle kwetsbaarheden die in deze campagne werden misbruikt, inclusief updates voor oudere iOS-versies. Het wordt daarom aanbevolen om de nieuwste beveiligingsupdates op mobiele apparaten te installeren.
