Uma campanha em larga escala associada a hackers russos comprometeu sites frequentados por seus alvos e mirou usuários de iOS e Android que acessavam páginas invadidas ou falsas, criadas para imitar portais legítimos.
A operação comprometeu sites de grande visibilidade nos Estados Unidos, na Ucrânia, na República Tcheca e na Bulgária. Todos distribuíam o mesmo payload, que traçava o perfil dos visitantes e de seus dispositivos.
Essa etapa inicial permitia ao atacante identificar a versão do navegador e, em seguida, implantar “cadeias de exploits específicas para cada plataforma, sem interação do usuário”.
Pesquisadores da empresa de cibersegurança Sekoia atribuem a operação, com confiança de moderada a alta, ao APT29, também conhecido como Midnight Blizzard. O grupo russo foi recentemente associado a ataques contra redes Wi-Fi de hotéis.
Segundo a análise, os sites legítimos comprometidos pertencem a uma produtora de gás ucraniana, a uma associação do setor químico dos Estados Unidos e a um site relacionado às Forças Armadas da Bulgária.
Domínios semelhantes aos oficiais imitaram o site America250 e o hotel Raffles London at The OWO, reproduzindo o conteúdo das páginas verdadeiras em um ataque do tipo adversary-in-the-middle (AiTM).
Os pesquisadores também descobriram que o grupo comprometeu a empresa ucraniana de análise da web Plerdy e alterou seu rastreador de otimização para mecanismos de busca (SEO). O código era carregado por milhares de sites, principalmente na Ucrânia, entre 27 de agosto e 3 de setembro.
Em todos os casos, o payload inicial consistia em código JavaScript que traçava o perfil dos visitantes para identificar seus dispositivos e as versões de seus navegadores. Em seguida, o servidor C2 enviava a cadeia de exploits adequada.
De acordo com a Sekoia, os hackers exploraram as seguintes vulnerabilidades para roubar cookies, bancos de dados de aplicativos de mensagens e credenciais:
- **CVE-2025-43529 e
CVE-2024-27834
**, no iOS 16.7. O payload mira cookies armazenados no Safari.
- **CVE-2025-43529,
CVE-2026-20700
,
CVE-2025-14174
,
CVE-2025-43510
e
CVE-2025-43520
**, no iOS 18.5. O payload coleta bancos de dados do WhatsApp e do Telegram, credenciais do Keychain, dados de localização e fotos.
- **CVE-2026-3910 e CVE-2025-27038**, no Chrome para Android, nas versões 139 a 145, exceto a 143. A ferramenta AndroSnitch coleta cookies do Chrome, dados de acesso, histórico de navegação e credenciais de redes Wi-Fi salvas.
Os pesquisadores identificaram outras quatro vulnerabilidades em trechos de código inalcançáveis ou em caminhos alternativos de exploração, mas elas não foram usadas nas cadeias analisadas.
A CVE-2025-43529 está associada ao conjunto de exploits “DarkSword”, documentado pela primeira vez em março e usado em ataques desde pelo menos novembro de 2025 por vários grupos.
A Sekoia afirma que nenhum dos payloads empregados pelo APT29 nesses ataques estabeleceu persistência. Assim, reiniciar o dispositivo interrompe a atividade maliciosa até que o usuário volte a acessar um site comprometido.
Para atribuir a operação ao APT29, a Sekoia aponta semelhanças com ataques anteriores do grupo contra sites frequentados pelos alvos, sobreposição de infraestrutura e um site comprometido que um parceiro associou a uma campanha do APT29 em 2025.
A Apple e o Google corrigiram todas as falhas exploradas na campanha, inclusive em versões antigas do iOS. A recomendação é instalar as atualizações de segurança mais recentes disponíveis para cada dispositivo.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...