Hackers russos usam exploits de clique zero para atacar iOS e Android por meio de sites sequestrados

Pesquisadores de segurança da Sekoia afirmam que um grupo de hackers apoiado pelo estado russo conduziu uma campanha de «watering hole» em larga escala para atingir usuários de iOS e Android com cadeias de exploits de clique zero, que não exigiam nenhuma interação das vítimas além de visitar um site comprometido ou falso. A empresa atribui a operação, com confiança média a alta, ao APT29, também rastreado como Midnight Blizzard, o mesmo grupo que a Microsoft associou à violação da SolarWinds e a uma série de ataques recentes via Wi-Fi de hotéis.

Ataques de watering hole funcionam comprometendo sites que o público-alvo provavelmente visitará, em vez de atacar as vítimas diretamente. Essa abordagem é relevante aqui porque permite que um agente estatal com amplos recursos lance uma rede ampla e deixe as vítimas chegarem até o exploit, em vez de enviar um link de phishing que o alvo poderia reconhecer e evitar. Segundo a Sekoia, a campanha combinou três táticas distintas: comprometer sites legítimos, criar domínios falsos muito parecidos com os originais e sequestrar discretamente um script de análise web amplamente utilizado.

Como funcionava a cadeia de exploits

O código JavaScript injetado nas páginas armadilhadas primeiro identificava o tipo de dispositivo e a versão do navegador de cada visitante. Um servidor de comando e controle então enviava uma cadeia de exploits específica para aquela plataforma. No iOS 16.7, os atacantes encadearam CVE-2025-43529 e CVE-2024-27834 para roubar cookies do Safari. No iOS 18.5, uma cadeia mais longa — CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 e CVE-2025-43520 — coletava bancos de dados do WhatsApp e Telegram, credenciais do Keychain, dados de localização e fotos. No Chrome para Android, nas versões 139 a 145 (exceto a 143), CVE-2026-3910 e CVE-2025-27038 foram combinadas com uma ferramenta que a Sekoia chama de AndroSnitch para roubar cookies, credenciais salvas, histórico de navegação e senhas de Wi-Fi salvas.

Todas essas são vulnerabilidades «n-day»: falhas para as quais já havia correção disponível, mas que ainda funcionam contra qualquer dispositivo que não tenha instalado a última atualização de segurança. A CVE-2025-43529, em particular, está ligada ao kit de exploits «DarkSword», documentado pela primeira vez em março de 2026 e, segundo relatos, usado por vários agentes de ameaça desde pelo menos novembro de 2025.

Sites comprometidos e uma reviravolta na cadeia de suprimentos

A campanha atingiu uma combinação de alvos reais e falsos. A Sekoia encontrou sites legítimos comprometidos diretamente, incluindo uma produtora de gás ucraniana, uma associação comercial da indústria química dos EUA e um site ligado a assuntos militares na Bulgária. Separadamente, os atacantes criaram domínios falsos que se passavam pelo site oficial do aniversário America250 e pelo hotel Raffles London em The OWO, replicando o conteúdo dos sites reais por meio de um esquema de adversário no meio (adversary-in-the-middle), de modo que os visitantes não notavam nenhuma diferença.

A ação mais consequente foi um comprometimento na cadeia de suprimentos da Plerdy, uma provedora ucraniana de análise web. Os atacantes modificaram seu script de rastreamento de SEO entre o fim de agosto e o início de setembro, e o código alterado foi carregado em milhares de sites que incorporam o rastreador da Plerdy, a grande maioria localizados na Ucrânia.

O que vem a seguir

Nenhuma das cargas maliciosas estabeleceu persistência nos dispositivos infectados, o que significa que uma simples reinicialização interrompia a atividade até que o usuário visitasse novamente um site comprometido. Apple e Google já corrigiram todas as vulnerabilidades exploradas, incluindo correções retroativas para versões mais antigas do iOS. As descobertas da Sekoia, divulgadas pela primeira vez por Bill Toulas no BleepingComputer, reforçam um padrão já apontado por pesquisadores de segurança: grupos ligados a estados reutilizam cada vez mais exploits originalmente criados por fornecedores comerciais de spyware, transformando falhas «n-day» já corrigidas em armas eficazes contra quem deixa de atualizar seus dispositivos.

Para a maioria dos usuários, a conclusão prática é simples: instale as atualizações de segurança do iOS e Android assim que estiverem disponíveis, já que todas as falhas usadas nesta campanha têm correção. Organizações que incorporam scripts de análise ou rastreamento de terceiros também devem tratá-los como parte de sua superfície de ataque, não apenas como uma ferramenta de marketing — o comprometimento da Plerdy mostra como um único fornecedor confiável pode se tornar um canal de distribuição de malware em milhares de sites sem relação entre si.