Eingesetzt wurden mehrere prominente Websites in den USA, der Ukraine, Tschechien und Bulgarien, die alle dieselbe Erstlast auslieferten: JavaScript-Code, der Besucher sowie deren Geräte und Browserversionen profiliert. Auf Basis dieser Angaben schickte der Command-and-Control-Server die passende, plattformspezifische n-Day-Exploit-Kette aus – laut den Forschern „ohne Nutzerinteraktion".
Zu den kompromittierten legitimen Seiten zählen der Auftritt eines ukrainischen Gasproduzenten, eines US-amerikanischen Branchenverbands der Chemieindustrie sowie eine bulgarische Website mit Militärbezug. Zusätzlich registrierten die Angreifer ähnlich lautende Domains, die die offizielle Seite von America250 und Raffles London at The OWO imitierten und die Inhalte der echten Seiten im Sinne eines Adversary-in-the-Middle-Angriffs weiterreichten.
Außerdem stellte Sekoia fest, dass der Akteur den ukrainischen Webanalysedienst Plerdy kompromittiert und dessen SEO-Tracker verändert hatte. Dieser wurde zwischen dem 27. August und dem 3. September von Tausenden Websites geladen, überwiegend in der Ukraine.
Ziel der Angriffe war das Abgreifen von Cookies, Datenbanken von Messenger-Apps und Zugangsdaten. Genutzt wurden nach Angaben von Sekoia:
- CVE-2025-43529 und CVE-2024-27834 unter iOS 16.7 – die Last zielt auf in Safari gespeicherte Cookies.
- CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520 unter iOS 18.5 – hier werden WhatsApp- und Telegram-Datenbanken, Keychain-Zugangsdaten, Standortdaten und Fotos abgezogen.
- CVE-2026-3910 und CVE-2025-27038 in Chrome für Android 139 bis 145 mit Ausnahme von 143 – über das Werkzeug AndroSnitch werden Chrome-Cookies, Anmeldedaten, Browserverlauf und gespeicherte WLAN-Zugangsdaten gesammelt.
Vier weitere Schwachstellen fanden die Forscher in nicht erreichbarem Code oder in alternativen Exploit-Pfaden; in den analysierten Ketten kamen sie nicht zum Einsatz. CVE-2025-43529 steht in Verbindung mit dem Exploit-Kit „DarkSword", das erstmals im März dokumentiert wurde und seit mindestens November 2025 von mehreren Gruppen in Angriffen verwendet wird.
Keine der eingesetzten Schadlasten richtete laut Sekoia eine dauerhafte Verankerung auf den Geräten ein. Ein Neustart beendet die schädliche Aktivität daher, bis erneut eine präparierte Seite aufgerufen wird.
Für die Zuordnung zu APT29 führt Sekoia Ähnlichkeiten zu früheren Watering-Hole-Operationen derselben Gruppe an, Überschneidungen in der Infrastruktur sowie eine kompromittierte Website, die ein Partner einer APT29-Kampagne aus dem Jahr 2025 zugeordnet hatte.
Apple und Google haben sämtliche in der Kampagne angegriffenen Schwachstellen geschlossen, die Korrekturen erreichten auch ältere iOS-Versionen. Nutzern wird empfohlen, die jeweils aktuellen Sicherheitsupdates einzuspielen.