Експертні статті про SEOКонтактиRSShello@linksgauge.com

Технології

Хакригрупа APT29 зламала український сервіс вебтестимування Plerdy для атак на iOS та Android

Редакція LinksGauge2 хв читання

Ілюстрація кібератаки та мобільної безпеки

Головне за 30 секунд

  • Кібератака під кодовою назвою Poisoned Source була виявлена французькою компанією Sekoia у середині жовтня 2026 року.
  • Зловмисники використали компрометацію українського сервісу вебтестимування Plerdy SEO Tracker у період з 27 серпня по 3 вересня 2026 року.
  • Кампанія спрямована на користувачів iOS та Android через ін'єкції шкідливого JavaScript-коду, що збирає атрибути браузерів та доставляє ланцюжки експлойтів.
  • Для атак задіяно три вектори зараження, включаючи підроблені сайти та ланцюжки постачання для ураження військових і спеціальних ресурсів.

Масштабна кампанія Poisoned Source та вектори зараження

Пов'язане з Росією угруповання кіберзлочинців APT29 організувало масштабну кампанію з використанням шлюзів зараження (watering hole), яка націлена на власників мобільних пристроїв на базі iOS та Android. Атаки здійснюються через компрометацію вебсайтів, фейкові домени та атаку на ланцюжок постачання українського сервісу вебтестимування Plerdy SEO Tracker.

Як зазначили дослідники компанії Sekoia, ін'єкція збирає дані про браузер і пристрій, після чого доставляє платформні експлойти для викрадення файлів cookies, паролів до Wi-Fi та повних даних мобільних пристроїв. Ця активність отримала назву Poisoned Source і була виявлена у середині жовтня 2026 року.

Кампанія використовує три основні вектори зараження:

  • Компрометація легітимних вебсайтів для впровадження шкідливого коду JavaScript.
  • Сайти-двійники у США, Чехії, Болгарії та інших країнах.
  • Атака на ланцюжок постачання Plerdy SEO Tracker у період з 27 серпня по 3 вересня 2026 року через модифікацію файлу а.plerdy[.]com/public/js/click/main.js.

Технічні деталі та мобільні експлойти для iOS і Android

Усі шляхи зараження ведуть до завантажувача JavaScript, який профільює пристрій та завантажує відповідне шкідливе програмне забезпечення. Для користувачів iOS використовується фреймворк DarkSword, а на пристроях Android — шкідливе ПЗ AndroSnitch.

Виділено три класи атак залежно від версій операційних систем і вразливостей:

  • Class A: націлений на iOS версії 16.7 з використанням вразливостей CVE-2025-43529 та CVE-2024-27834.
  • Class B: вражає iOS 18.5 через ланцюжок із п'яти вразливостей (зокрема CVE-2025-43529, CVE-2026-20700 та інших) для повного викрадення даних пристрою, включно з повідомленнями, історією браузера та базами даних месенджерів.
  • Class C: атакує браузер Chrome на Android версій із 139 по 145 (виключаючи 143) за допомогою вразливостей CVE-2026-3910 та CVE-2025-27038, доставляючи корисне навантаження AndroSnitch.

Зібрані дані надсилаються на кінцеву точку ad.starx-net[.]com:8881/telemetry/v12, при цьому для Android існує перевірка на модель Samsung Galaxy S25 Ultra (SM-S938B), у разі збігу якої атака припиняється.