APT29 атакува смартфони през компрометирани сайтове, включително в България

Свързваната с Русия хакерска група APT29 провежда мащабна кампания за шпионаж през мобилни устройства, наречена Poisoned Source. Нападателите използват компрометирани легитимни платформи, сред които български сайт с военно предназначение, фалшиви домейни и компрометирана услуга за уеб анализи, за да заразяват потребители на iOS и Android.

Разкритията идват от доклад на френската компания за киберсигурност Sekoia, като допълнителни данни съобщават компаниите Report URI, iVerify и Zimperium. Кампанията използва три направления: внедряване на зловреден код в реални уебсайтове, копия на популярни домейни в САЩ, Украйна, Чехия и България, както и атака по веригата на доставки (supply chain) през украинската аналитична платформа Plerdy SEO Tracker, засегната в края на август 2026 г.

Механизмът разчита на зловреден JavaScript, който анализира устройството на посетителя и сервира експлойт вериги според операционната система. За проникване в браузъра не се изисква сваляне на файл или действие от потребителя. При iPhone се използват експлойт китовете Coruna и DarkSword, които могат да източат цялото устройство – от чатове в WhatsApp и Telegram до пароли в iCloud Keychain и системни бази данни. При Android се експлоатират уязвимости в Chrome (версии 139–145), за да се инсталира шпионски софтуер AndroSnitch за кражба на бисквитки и пароли за Wi-Fi.