تحقیقات امنیتی نشان می‌دهد که هکرهای وابسته به سرویس اطلاعات خارجی روسیه، که با نام‌های APT29، Cozy Bear و Midnight Blizzard نیز شناخته می‌شوند، یک کمپین گسترده از نوع Watering Hole را علیه دستگاه‌های موبایل اجرا کرده‌اند. این عامل تهدید (Threat Actor) با استفاده از وب‌سایت‌های مشابه یا سایت‌های هک‌شده، به دنبال سرقت کوکی‌های مرورگر (Browser Cookies) و سایر داده‌های حساس کاربران است.
جزئیات عملیات و اهداف
این کمپین که در اواسط اکتبر شناسایی شده، مجموعه‌ای از وب‌سایت‌های سطح بالا را هدف قرار داده است؛ از جمله شرکت‌های تولید گاز، انجمن‌های تجاری در ایالات متحده و سازمان‌های مرتبط با حوزه نظامی در بلغارستان. همچنین، یک سرویس تحلیل وب (Web Analytics) نیز مورد نفوذ قرار گرفته تا از طریق آن، دسترسی به سایت‌های بیشتری فراهم شود.
برخلاف تصور اولیه که اهداف این حمله پراکنده به نظر می‌رسید، تحلیل‌ها نشان می‌دهد که مهاجمان از استراتژی Individual-centric targeting استفاده کرده‌اند. در این روش، مهاجم وب‌سایت‌های خاصی را که فرد مورد نظر به طور معمول از آن‌ها بازدید می‌کند، هدف قرار می‌دهد.
روش‌های حمله و تکنیک‌ها (TTPs)
- تزریق کد (JavaScript Injection): آلوده کردن وب‌سایت‌های قانونی با کدهای مخرب.
- پراکسی معکوس (Reverse Proxy): ثبت دامنه‌های فیشینگ که به عنوان پراکسی معکوس برای سایت‌های معتبر عمل می‌کنند.
- سوءاستفاده از آسیب‌پذیری‌ها: استفاده از آسیب‌پذیری‌های شناخته‌شده (Known Vulnerabilities) در دستگاه‌های موبایلی که به‌روزرسانی نشده‌اند.
پیامدهای امنیتی و دور زدن MFA
هدف اصلی این حملات، ایجاد پایداری (Persistence) در دستگاه نیست، بلکه تمرکز بر Intelligence Collection یا جمع‌آوری اطلاعات است. با سرقت کوکی‌های احراز هویت (Authentication Cookies)، مهاجمان می‌توانند بدون نیاز به رمز عبور و حتی بدون فعال‌سازی Multi-Factor Authentication (MFA)، به موارد زیر دسترسی پیدا کنند:
- ایمیل‌های سازمانی (Webmail)
- مجموعه‌های همکاری ابری (Cloud Collaboration Suites)
- پورتال‌های داخلی وب
این دسترسی‌ها می‌تواند منجر به سرقت هویت، دسترسی به شبکه‌های داخلی و انجام حملات فیشینگ هدفمند (Spear Phishing) شود.
به‌روزرسانی (نوامبر 4, 2026 — Cybersecurity News)
به‌روزرسانی: تحلیل‌های جدید نشان می‌دهد عامل تهدید APT29 از یک حمله زنجیره تأمین (Supply Chain Attack) گسترده از طریق سرویس تحلیل وب Plerdy استفاده کرده است. مهاجمان با تزریق اسکریپتی به نام UltimateFingerprinter در این سرویس، توانستند هزاران وب‌سایت مرتبط با بخش‌های نظامی و دفاعی را به تله‌ای برای کاربران تبدیل کنند. این اسکریپت با تحلیل دقیق مشخصات دستگاه کاربر، اکسپلویت‌های متناسب با نسخه سیستم‌عامل را ارسال می‌کند.
در این عملیات، سه زنجیره اکسپلویت شناسایی شده است: Class A که با هدف سرقت کوکی‌ها در iOS 16.7 از آسیب‌پذیری‌های CVE-2025-43529 و CVE-2024-27834 استفاده می‌کند؛ Class B که تهاجمی‌ترین حالت است و با بهره‌برداری از کیت DarkSword و زنجیره‌ای از آسیب‌پذیری‌ها شامل CVE-2026-20700، CVE-2025-14174، CVE-2025-43510 و CVE-2025-43520، دسترسی کامل به پیام‌های واتس‌اپ، تلگرام، Keychain و فایل‌های iCloud را به دست می‌آورد؛ و در نهایت Class C که کاربران اندروید (نسخه‌های 139 تا 145 کروم) را هدف قرار داده و با استفاده از بدافزار AndroSnitch، کوکی‌ها و تنظیمات Wi-Fi را سرقت می‌کند.
علاوه بر حمله زنجیره تأمین، این گروه از دامنه‌های جعلی مانند america250[.]holiday و theowo[.]club برای هدف قرار دادن دیپلمات‌ها و شخصیت‌های برجسته استفاده کرده است. توصیه می‌شود تمامی دستگاه‌های موبایل به آخرین نسخه به‌روزرسانی شوند و سازمان‌ها لاگ‌های مربوط به دامنه‌های مذکور را بررسی کنند.
به‌روزرسانی (نوامبر 4, 2026 — BleepingComputer)
به‌روزرسانی: تحلیل‌های جدید نشان می‌دهد که عامل تهدید APT29 (معروف به Midnight Blizzard) در این عملیات، سرویس تحلیل وب Plerdy را مورد هدف قرار داده و با تغییر در SEO tracker آن، توانسته است هزاران وب‌سایت (عمدتاً در اوکراین) را به ابزاری برای شناسایی کاربران تبدیل کند. اهداف شناسایی شده در این موج از حملات شامل یک تولیدکننده گاز در اوکراین و یک انجمن تجاری صنایع شیمیایی در ایالات متحده است.
این گروه برای استخراج کوکی‌ها، اعتبارنامه‌ها (Credentials) و پایگاه داده‌های اپلیکیشن‌های پیام‌رسان، از زنجیره‌ای از اکسپلویت‌های n-day استفاده کرده است. یکی از آسیب‌پذیری‌های کلیدی شناسایی شده، CVE-2025-43529 است که با اکسپلویت کیت “DarkSword” مرتبط بوده و از نوامبر ۲۰۲۵ توسط چندین گروه مهاجم مورد استفاده قرار گرفته است.
نکته قابل توجه این است که هیچ‌یک از Payloadهای استفاده شده توسط APT29 قابلیت پایداری (Persistence) در سیستم را نداشتند؛ به این معنا که با ری‌بوت (Reboot) شدن دستگاه، فعالیت‌های مخرب متوقف می‌شود تا زمانی که کاربر مجدداً از یک سایت آلوده بازدید کند. در حال حاضر، شرکت‌های اپل و گوگل تمامی این آسیب‌پذیری‌ها را برطرف کرده‌اند و توصیه می‌شود کاربران سریعاً به‌روزرسانی‌های امنیتی را اعمال کنند.
به‌روزرسانی (نوامبر 4, 2026 — The Hacker News)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که این عملیات با نام “Poisoned Source” شناخته می‌شود. در این حملات، عامل تهدید (threat actor) APT29 از یک حمله زنجیره تأمین (supply chain attack) علیه سرویس تحلیل وب Plerdy SEO Tracker استفاده کرده است تا کدهای مخرب را در سایت‌های هدف تزریق کند.
این کمپین از بدافزارهای تخصصی برای سیستم‌عامل‌های مختلف بهره می‌برد؛ از جمله DarkSword برای دستگاه‌های iOS و AndroSnitch برای اندروید. هدف نهایی این بدافزارها، سرقت کوکی‌های مرورگر (browser cookies) و داده‌های حساس دستگاه است.
بررسی‌ها نشان می‌دهد که اهداف این حملات شامل وب‌سایت‌های مرتبط با صنایع شیمیایی و سایت‌های نظامی (military-related) است که نشان‌دهنده ماهیت استراتژیک و هدفمند این عملیات برای جمع‌آوری اطلاعات حساس است.
به‌روزرسانی (نوامبر 4, 2026 — GBHackers)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که گروه APT29 از طریق آلوده کردن سرویس Plerdy SEO Tracker، حملات زنجیره تأمین (Supply-chain compromise) را اجرا کرده است. این عملیات شامل استفاده از ابزارهای پیشرفته‌ای مانند DarkSword برای iOS و AndroSnitch برای اندروید است که قادر به سرقت پایگاه داده‌های WhatsApp، Telegram و اطلاعات حساس Keychain هستند.
این حملات از چندین زنجیره اکسپلویت (Exploit Chains) استفاده می‌کنند:
- زنجیره A: با سوءاستفاده از آسیب‌پذیری‌های CVE-2025-43529 و CVE-2024-27834، کوکی‌ها را سرقت می‌کند.
- زنجیره B: با استفاده از کیت DarkSword، دستگاه‌های iOS 18.5 را هدف قرار داده و اطلاعات کامل دستگاه را سرقت می‌کند.
- زنجیره C: با استفاده از آسیب‌پذیری‌های درایور GPU (مانند CVE-2026-3910) مرورگر Chrome در اندروید را هدف قرار می‌دهد.
علاوه بر این، مهاجمان از اسکریپت UltimateFingerprinter استفاده می‌کنند که برای دور زدن تحلیل‌های مبتنی بر هوش مصنوعی (LLM-based analysis)، در میان حجم زیادی از کدهای AngularJS پنهان شده است. اهداف این حملات شامل سازمان‌های دفاعی، صنایع شیمیایی و سایت‌های سیاسی در اروپا و آمریکا بوده است.
