I ricercatori di Sekoia hanno individuato una campagna di watering hole su larga scala che sfrutta diverse vulnerabilità n-day di Android e iOS per rubare cookie, password e dati personali senza alcuna interazione da parte degli utenti, in modalità zero-click. Le prove raccolte dagli analisti indicano che gli attacchi sono riconducibili al gruppo russo APT29, noto anche come Midnight Blizzard o Cozy Bear. La raccomandazione principale resta una sola: installare quanto prima gli aggiornamenti di sicurezza disponibili.
Come funziona la trappola dei siti compromessi
Un attacco di tipo watering hole prevede l'iniezione di codice malevolo in siti frequentati abitualmente da un target specifico. In questo caso le vittime designate sono soggetti di alto profilo: aziende, strutture militari e agenzie governative in Ucraina, Bulgaria, Repubblica Ceca e Stati Uniti. I cybercriminali hanno sfruttato tre vettori di infezione distinti: siti legittimi compromessi, siti fake e attacchi alla supply-chain. Nel primo caso uno script JavaScript inserito nella home page scarica un malware che raccoglie informazioni sul dispositivo, utili a selezionare l'exploit adatto al sistema operativo in uso.
Nel secondo scenario viene eseguito un attacco Adversary-in-the-Middle (AiTM): il traffico viene intercettato tramite un reverse proxy e inoltrato al sito reale, ingannando l'utente. Nel terzo caso, invece, gli attaccanti hanno installato sul sito una versione compromessa di Plerdy SEO Tracker, dimostrando ancora una volta come la filiera del software di terze parti sia un bersaglio privilegiato.
Tre catene di exploit per iOS e Android
Durante la campagna sono state utilizzate tre distinte catene di exploit. La prima sfrutta le vulnerabilità CVE-2025-43529 e CVE-2024-27834 di iOS per rubare i cookie da Safari. La seconda combina CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520, sempre su iOS, per sottrarre messaggi, SMS, email, contatti, credenziali, cronologia chiamate, cookie, posizione geografica e foto. La terza catena prende di mira Chrome su Android sfruttando CVE-2026-3910 e CVE-2025-27038 per rubare cookie, cronologia di navigazione e password Wi-Fi.
Un elemento che ridimensiona parzialmente la minaccia riguarda la persistenza: nessuno degli attacchi la stabilisce, quindi un semplice riavvio del dispositivo è sufficiente a interrompere l'attività degli exploit. Poiché le patch sono già disponibili per tutte le vulnerabilità citate, gli utenti devono aggiornare immediatamente i sistemi operativi e i browser alle ultime versioni. La finestra di rischio resta aperta solo per chi rimanda l'installazione degli aggiornamenti.
