Co się wydarzyło
Wektory to wstrzyknięty JavaScript na zhakowanych stronach, domeny podszywające się pod znane witryny (m.in. w USA, Ukrainie, Czechach i Bułgarii) oraz kompromitacja łańcucha dostaw — między 27 sierpnia a 3 września 2026 wstrzyknięto złośliwy kod do skryptu ukraińskiej usługi analitycznej Plerdy. Łańcuch Class B (DarkSword, iOS 18.5) wykorzystuje pięć podatności i wyprowadza wiadomości, bazy komunikatorów, hasła Wi-Fi oraz dane z Keychain. Łańcuch na Androida (Chrome 139–145) prowadzi do zdalnego wykonania kodu i ładunku AndroSnitch; zatrzymuje się na modelu Samsung Galaxy S25 Ultra. Dane trafiały do jednego serwera telemetrii.
Powiązane wątki: DarkSword P7 dostarczany metodą „half-click”, m.in. przez reklamę o tematyce mundialu na Instagramie, oraz operacja DeadTag wykorzystująca ponad 660 wygasłych, ponownie zarejestrowanych domen ze starymi tagami analitycznymi i reklamowymi.
Najważniejsze ustalenia
- Atrybucja: APT29 (powiązania z Rosją) — określona jako „presumed”, nie potwierdzona twardo; raport techniczny: Sekoia, połowa października 2026.
- Kompromitacja łańcucha dostaw: złośliwy kod w skrypcie usługi analitycznej Plerdy (27.08–3.09.2026) — jeden wstrzyknięty skrypt rozszerza zasięg na wszystkie korzystające z niej strony.
- DarkSword (iOS) kradnie Keychain, ciasteczka, hasła Wi-Fi i dane komunikatorów; łańcuch na Androida kończy się zdalnym wykonaniem kodu i ładunkiem AndroSnitch.
- Zasięg: kampania celuje w niezałatane urządzenia; podrobione domeny i zhakowane witryny wskazują m.in. na USA, Ukrainę, Czechy i Bułgarię — region istotny w kontekście wojny w Ukrainie.