I ricercatori di Sekoia hanno documentato una vasta campagna di watering hole che sfrutta vulnerabilità n-day di Android e iOS per sottrarre cookie, password e dati personali senza alcuna interazione da parte delle vittime: si tratta di attacchi zero-click. Le prove raccolte indicano la mano del gruppo russo APT29, noto anche come Midnight Blizzard o Cozy Bear. Le vittime designate sono utenti di siti di alto profilo — aziende, ambienti militari e agenzie governative — situati in Ucraina, Bulgaria, Repubblica Ceca e Stati Uniti.
Tre vettori di infezione
La campagna poggia su tre distinte modalità di attacco. Nel primo caso viene iniettato un codice JavaScript nella home page di un sito compromesso: alla visita, lo script scarica un malware che raccoglie informazioni sul dispositivo per scegliere l'exploit adatto al sistema operativo. Nel secondo caso i criminali ricorrono a un attacco Adversary-in-the-Middle (AiTM), intercettando il traffico tramite un reverse proxy e inoltrandolo al sito reale. Nel terzo caso è stata installata una versione compromessa di Plerdy SEO Tracker, sfruttando la supply-chain.
Le catene di exploit utilizzate sono tre. La prima sfrutta le vulnerabilità CVE-2025-43529 e CVE-2024-27834 di iOS per rubare i cookie di Safari. La seconda combina CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520 per sottrarre messaggi, SMS, email, contatti, credenziali, cronologia chiamate, cookie, posizione geografica e foto. La terza prende di mira Chrome su Android con CVE-2026-3910 e CVE-2025-27038, puntando a cookie, cronologia e password Wi-Fi.
Riavvio e patch: le contromisure
Un elemento importante emerge dall'analisi: gli attacchi non stabiliscono alcuna persistenza. Di conseguenza, un semplice riavvio del dispositivo è sufficiente a interrompere l'attività degli exploit. Poiché le patch sono già disponibili, gli esperti raccomandano di installare al più presto le ultime versioni dei sistemi operativi e dei browser.
La vicenda conferma la crescente sofisticazione delle campagne statali: l'assenza di interazione dell'utente rende il phishing tradizionale superfluo e amplifica la portata del furto di dati. Per gli utenti, la difesa resta la tempestività negli aggiornamenti; per le organizzazioni, il monitoraggio dei siti di terze parti e della supply-chain diventa un presidio irrinunciabile.
