یک کمپین جاسوسی سایبری که به گروه APT29 (معروف به Midnight Blizzard یا Cozy Bear) نسبت داده شده است، از زنجیره‌های اکسپلویت (Exploit Chains) برای هدف قرار دادن آسیب‌پذیری‌های قبلاً اصلاح‌شده در دستگاه‌های iPhone و Android استفاده می‌کند. این حملات از طریق سایت‌های معتبر انجام شده و هدف آن‌ها سرقت کوکی‌ها (Cookies)، داده‌های دستگاه و رمزهای عبور Wi-Fi بدون نیاز به هیچ‌گونه تعامل کاربر است.
جزئیات عملیات و روش‌های نفوذ
تحقیقات منتشر شده نشان می‌دهد که این گروه از سه مسیر اصلی برای تحویل بدافزار استفاده کرده است:
- تزریق اسکریپت به سایت‌های معتبر.
- استفاده از دامنه‌های مشابه (Lookalike Domains) که سایت‌های واقعی را پروکسی کرده و اسکریپت‌های مخرب را به آن‌ها اضافه می‌کنند.
- سوءاستفاده از سرویس تحلیلگر وب Plerdy که برای مدتی مورد نفوذ قرار گرفته بود و باعث قرار گرفتن صدها وب‌سایت در معرض خطر شد.
این کمپین سایت‌های مختلفی از جمله تولیدکنندگان گاز اوکراین، سایت‌های نظامی، انجمن‌های تجاری در ایالات متحده و سازمان‌های در جمهوری چک را هدف قرار داده است. نفوذ به ابزار تحلیلگر Plerdy باعث شده بود بازدیدکنندگان بسیاری از سایت‌های اوکراینی در معرض اکسپلویت قرار بگیرند.
اهداف فنی و آسیب‌پذیری‌ها
در این حملات، از تکنیک شناسایی اثر انگشت دیجیتال (Fingerprinting) برای تطبیق اکسپلویت با نوع دستگاه کاربر استفاده می‌شود. زنجیره‌های اکسپلویت شناسایی شده عبارتند از:
- iOS 16.7: با هدف سرقت کوکی‌ها.
- iOS 18.5: با استفاده از کیت اکسپلویت DarkSword برای جمع‌آوری کامل داده‌های دستگاه.
- Android (Chrome 139-145): با هدف سرقت کوکی‌های مرورگر و رمزهای عبور Wi-Fi.
نکته حائز اهمیت این است که این حملات از آسیب‌پذیری‌های n-day (آسیب‌پذیری‌هایی که قبلاً شناسایی و وصله شده‌اند) استفاده می‌کنند. بنابراین، کاربران و سازمان‌هایی که سیستم‌عامل و مرورگر خود را به‌روز نگه می‌دارند، در برابر این حملات ایمن هستند.
به‌روزرسانی (نوامبر 4, 2026 — Help Net Security)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که گروه APT29 با سوءاستفاده از سرویس تحلیلگر وب Plerdy و استفاده از دامنه‌های مشابه (Lookalike Domains)، ابعاد حملات Watering Hole خود را گسترش داده است. این گروه با تزریق کد به اسکریپت‌های ردیابی، توانسته است به هزاران وب‌سایت نفوذ کرده و کاربران را از طریق زنجیره‌های اکسپلویت n-day هدف قرار دهد.
در این کمپین، از آسیب‌پذیری‌هایی نظیر CVE-2024-27834 و CVE-2026-20700 برای نفوذ به دستگاه‌های iOS استفاده می‌شود. همچنین در پلتفرم Android، اکسپلویت‌های مربوط به Chrome و درایور گرافیکی Adreno برای سرقت کوکی‌ها و رمزهای عبور به کار می‌روند. استفاده از کیت اکسپلویت DarkSword در نسخه‌های جدید iOS، امکان دسترسی به پیام‌ها (iMessage، WhatsApp، Telegram)، داده‌های سلامت و رمزهای عبور Keychain را فراهم کرده است.
به‌روزرسانی (نوامبر 5, 2026 — arstechnica.com)
به‌روزرسانی: محققان امنیتی در جریان بررسی‌های جدید، کیت اکسپلویت (exploit kit) اختصاصی برای سیستم‌عامل iOS با نام DarkSword را شناسایی کرده‌اند. این ابزار در قالب زنجیره‌های اکسپلویت (exploit chains) از نوع Zero-click مورد استفاده قرار می‌گیرد که بدون نیاز به هیچ‌گونه تعامل کاربر، دستگاه‌های هدف را آلوده می‌کند.
در این کمپین، اهداف مشخصی از جمله وب‌سایت america250.org، وب‌سایت theowo.club، یک شرکت تولید گاز اوکراینی و یک سرویس تحلیلگر وب (web analytics) در اوکراین شناسایی شده‌اند. مهاجمان با استفاده از روش‌هایی نظیر پروکسی معکوس (reverse proxy) و حملات زنجیره تأمین (supply-chain attacks)، ترافیک این سایت‌ها را برای تزریق کدهای مخرب JavaScript هدف قرار داده‌اند.
لازم به ذکر است که تمامی آسیب‌پذیری‌های مورد سوءاستفاده از نوع n-day هستند؛ به این معنا که این حملات تنها بر روی نسخه‌های قدیمی و آپدیت‌نشده iOS و Android موفق عمل می‌کنند.
