I ricercatori di Sekoia hanno descritto una campagna watering hole su larga scala che sfrutta diverse vulnerabilità n-day di Android e iOS per rubare cookie, password e dati personali, senza interazione degli utenti (zero-click). In base alle prove raccolte, gli attacchi sono stati effettuati dal gruppo russo APT29, noto anche come Midnight Blizzard o Cozy Bear. È quindi consigliata l’installazione degli aggiornamenti di sicurezza.
Codice nascosto in siti compromessi o cloni
Un attacco watering hole prevede l’installazione di codice infetto in siti visitati abitualmente da un determinato gruppo di utenti. In questo caso si tratta di siti di alto profilo (aziende, militari, agenzie governative) in Ucraina, Bulgaria, Repubblica Ceca e Stati Uniti. I cybercriminali russi hanno utilizzato tre vettori di infezione: siti compromessi, siti fake e supply-chain.
Nel primo caso è stato iniettato un codice JavaScript nella home page. Quando un utente visita il sito, lo script scarica un malware che raccoglie informazioni sul dispositivo, utili per eseguire l’exploit adatto al sistema operativo. Nel secondo caso viene eseguito un attacco Adversary-in-the-Middle (AiTM), quindi i cybercriminali intercettano il traffico tramite un reverse proxy e lo inoltrano al sito reale. Nel terzo caso è stato installato sul sito una versione compromessa di Plerdy SEO Tracker.
Durante gli attacchi sono state usate tre distinte catene di exploit. La prima sfrutta le vulnerabilità CVE-2025-43529 e CVE-2024-27834 di iOS per rubare i cookie da Safari. La seconda sfrutta le vulnerabilità CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520 di iOS per rubare messaggi, SMS, email, contatti, credenziali, cronologia chiamate, cookie, posizione geografica e foto. La seconda sfrutta le vulnerabilità CVE-2026-3910 e CVE-2025-27038 di Chrome su Android per rubare cookie, cronologia e password Wi-Fi.
Tutti gli attacchi non stabiliscono la persistenza, quindi è sufficiente il riavvio del dispositivo per interrompere le attività degli exploit. Dato che sono disponibili le patch, gli utenti devono installare le ultime versioni dei sistemi operativi e dei browser.
Ti potrebbe interessare
7 nov 2026