Una campagna watering hole su larga scala sfrutta diverse vulnerabilità n-day di Android e iOS per sottrarre cookie, password e dati personali. L’infezione richiede zero-click, quindi non dipende da un’interazione dell’utente. In base alle prove raccolte, gli attacchi sono stati effettuati dal gruppo russo APT29, noto anche come Midnight Blizzard o Cozy Bear.
Il meccanismo prevede l’inserimento di codice infetto in siti frequentati abitualmente da un gruppo preciso di visitatori. Le vittime potenziali sono aziende, ambienti militari e agenzie governative in Ucraina, Bulgaria, Repubblica Ceca e Stati Uniti. Poiché le patch sono disponibili, è consigliata l’installazione degli aggiornamenti di sicurezza.
Tre strade per raggiungere i dispositivi
La campagna utilizza tre vettori di infezione: siti compromessi, siti fake e supply-chain. Nel primo vettore, uno script JavaScript inserito nella home page scarica un malware che raccoglie informazioni sul dispositivo e permette di eseguire l’exploit adatto al sistema operativo.
Nel vettore dei siti fake, viene attuato un attacco Adversary-in-the-Middle (AiTM): il traffico viene intercettato mediante un reverse proxy e poi inoltrato al sito reale. Il terzo vettore prevede invece l’installazione di una versione compromessa di Plerdy SEO Tracker.
Le catene di exploit
Una prima sequenza sfrutta le vulnerabilità CVE-2025-43529 e CVE-2024-27834 di iOS per rubare i cookie da Safari. Una seconda sequenza impiega CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520 di iOS, con l’obiettivo di sottrarre messaggi, SMS, email, contatti, credenziali, cronologia chiamate, cookie, posizione geografica e foto.
Un’ulteriore catena riguarda CVE-2026-3910 e CVE-2025-27038 di Chrome su Android e serve a recuperare cookie, cronologia e password Wi-Fi. Nessuno di questi attacchi stabilisce la persistenza: il riavvio del dispositivo interrompe le attività degli exploit. Dato che sono disponibili le patch, gli utenti devono installare le ultime versioni dei sistemi operativi e dei browser.
