APT29 usou o tracker da Plerdy e sites clonados para servir exploits n-day em iOS e Chrome Android

Quem mantém sites que carregam scripts de terceiros, e quem administra frotas de iPhones e Androids, deve olhar isso agora. A Sekoia publicou em 29 de outubro de 2026 uma campanha de watering hole que a empresa atribui, com confiança moderada a alta, ao APT29 (Midnight Blizzard, Cozy Bear), grupo ligado ao SVR russo. Parte dela foi um ataque de cadeia de suprimentos ao tracker de analytics ucraniano Plerdy. Todas as falhas exploradas já têm correção. Dispositivos totalmente atualizados não são afetados, segundo a Sekoia.

O que a Sekoia encontrou

A equipe de pesquisa da Sekoia detectou, em meados de outubro, sites de alto perfil comprometidos ou clonados nos EUA, Ucrânia, República Tcheca e Bulgária. O ponto de partida foi uma inclusão maliciosa de JavaScript no site de uma empresa ucraniana de produção de gás.

São três vetores de infecção, todos com o mesmo resultado:

• Injeção direta de JavaScript em sites legítimos, no template principal ou anexada a um arquivo JS existente. Entre os alvos estão uma associação do setor químico dos EUA, um partido político europeu de extrema-direita e um site militar búlgaro.
• Domínios que funcionam como proxy reverso, no estilo AiTM, e injetam o script no HTML em tempo real. Dois se passaram pelo site oficial America250 e pelo hotel Raffles London at The OWO.
• Comprometimento do tracker da Plerdy.

Em todos os casos, o código injetado carrega um script externo que a Sekoia chama de UltimateFingerprinter. Ele perfila o navegador e o dispositivo e, conforme a versão, serve uma cadeia de exploits específica, sem interação além de abrir a página.

O ataque à cadeia de suprimentos da Plerdy

Segundo a Sekoia, entre 27 de agosto e 3 de setembro de 2026 o grupo comprometeu o tracker hospedado em a.plerdy.com, carregado por milhares de sites, em grande maioria ucranianos. Os atacantes alteraram o arquivo legítimo de rastreamento de cliques, de modo que o visitante carregava o script original e também o de fingerprinting.

Há uma divergência no próprio relatório. O resumo fala em centenas de sites legítimos expostos, e o trecho sobre a Plerdy fala em milhares de sites que carregam o tracker. A Sekoia também diz não saber se o alvo eram visitantes específicos ou o maior número possível de dispositivos sem patch. Entre os sites expostos havia páginas de forças armadas, forças especiais e equipamentos militares.

As cadeias de exploits

Segundo a Sekoia, o script coleta 394 campos de fingerprint e filtra a entrega apenas com checagens básicas de tipo de dispositivo. Três cadeias foram recuperadas:

• Classe A, iOS 16.7, roubo de cookies: CVE-2025-43529 (execução remota de código) com CVE-2024-27834 (bypass de PAC). A Sekoia achou também código morto para CVE-2024-27808 e CVE-2024-27833.
• Classe B, iOS, cadeia completa do kit DarkSword: CVE-2025-43529, CVE-2026-20700 (bypass de PAC), CVE-2025-14174 e CVE-2025-43510 (escapes de sandbox) e CVE-2025-43520 (leitura e escrita no kernel). Exfiltra SMS, iMessage, Mail, bancos do WhatsApp e do Telegram, Keychain, senhas de Wi-Fi, contatos, cookies do Safari, localização, saúde e fotos. CVE-2025-31277 e CVE-2025-24201 existem no kit, mas não foram usadas.
• Classe C, Chrome no Android 139 a 145, exceto 143: CVE-2026-3910 (RCE no renderer) com CVE-2025-27038 (escape de sandbox no driver Adreno). Entrega o shellcode AndroSnitch, que rouba cookies, senhas salvas, histórico e dados de Wi-Fi do Chrome.

O DarkSword, segundo a Sekoia, é um kit de iOS suspeito de ser de um fornecedor comercial de vigilância e foi enviado ao VirusTotal em setembro de 2026. Os payloads finais não estabelecem persistência.

O material de apoio indica iOS 16.0 a 17.4 como faixa afetada, enquanto a cadeia Class A mira especificamente o 16.7. Confira a versão exata no relatório antes de tomar decisões por faixa.

Como a Sekoia chegou ao APT29

A empresa cita a vitimologia (Ucrânia, EUA e Europa), padrões de infraestrutura, sobreposição de IOCs com uma campanha de watering hole do APT29 de 2025 e semelhanças com a campanha de 2024 contra sites do governo da Mongólia, reportada pelo Google TAG. É uma atribuição da Sekoia, não uma confirmação oficial.

O que conferir

1. Atualize iOS e Chrome no Android. A Sekoia diz que nenhuma das cadeias funciona contra dispositivos atualizados. Para frotas gerenciadas, verifique no MDM quais iPhones ainda estão em versões antigas, em especial o iOS 16.x, e quais Androids rodam Chrome 139 a 145.
2. Verifique se seus sites carregam o tracker da Plerdy. Procure no código e nos templates:

grep -ri "plerdy" ./src ./templates

3. Se carregam, revise o histórico entre 27 de agosto e 3 de setembro de 2026 e compare o conteúdo servido por a.plerdy.com nesse período com o esperado.
4. Procure nos logs de proxy e DNS acessos aos domínios de infraestrutura listados pela Sekoia. A lista completa de IOCs está no relatório.
5. Audite scripts de terceiros nos seus sites. Um script carregado de fora executa com os privilégios da sua página. Considere Subresource Integrity onde o arquivo for estático e uma Content-Security-Policy restritiva. Um tracker que muda de conteúdo sem aviso, como foi o caso aqui, não se beneficia de SRI, então a CSP e a revisão de quais terceiros você realmente precisa pesam mais.
6. Verifique se há domínios parecidos com os seus clonando seu site via proxy reverso.

A Sekoia informa que coordena com os CERTs dos países afetados a identificação de vítimas e a derrubada da infraestrutura.

Fontes: Sekoia, Poisoned Source: APT29 Watering Holes Targets Mobile Devices