APT29 sequestrou Plerdy e explorou falhas já corrigidas em celulares
Campanha de ciberespionagem atribuída ao APT29 pela Sekoia, com confiança moderada a alta, comprometeu o rastreador ucraniano de analytics Plerdy de 27 de agosto a 3 de setembro e expôs visitantes de centenas de sites a cadeias de exploits de falhas já corrigidas no iOS e no Android, sem interação do usuário. Os payloads roubavam cookies, dados do dispositivo e senhas de Wi-Fi; segundo a Sekoia, usuário com sistema operacional atualizado está a salvo desses ataques. A ação imediata é forçar a atualização de todos os celulares.
O que aconteceu
Grupo de espionagem atribuído à Rússia (APT29, segundo a Sekoia) sequestrou por uma semana o rastreador de sites Plerdy e usou o serviço para atacar visitantes de centenas de sites, a maioria ucranianos. Os ataques exploravam falhas já corrigidas em iPhones e Androids desatualizados e roubavam cookies, dados do aparelho e senhas de Wi-Fi sem qualquer clique do usuário.
Por que importa
A empresa não precisava ser visada diretamente: qualquer funcionário com celular desatualizado que visitou um site afetado pode ter tido cookies de sessão, senhas de Wi-Fi e dados do aparelho roubados. Cookies de sessão permitem entrar em contas sem senha. A Sekoia não informou quantos dispositivos foram comprometidos.
O que fazer
Forcem a atualização imediata de todos os celulares corporativos e pessoais usados para trabalho, em iOS e Android. Revoguem sessões ativas em contas críticas e troquem senhas de Wi-Fi sensíveis. Verifiquem se os sites da empresa carregam scripts de terceiros como o Plerdy.
Para o time técnico
- Afetados
- Plerdy, rastreador ucraniano de analytics para sites; serviço comprometido e usado como watering hole · iOS 16.7 (roubo de cookies); iOS 18.5 (coleta de dados completos do dispositivo, via kit de exploits DarkSword); Chrome 139 a 145 no Android, exceto a versão 143 (cookies do navegador e senhas de Wi-Fi).
- Exploração
- Exploração relatada pela Sekoia; atividade descoberta em meados de outubro de 2026 e pesquisa publicada em 4 de novembro. Atribuição ao APT29 com confiança moderada a alta. Todas as falhas eram n-day, já divulgadas e corrigidas; a Sekoia avalia que o APT29 obteve os exploits de um terceiro.
- Correção
- Atualizar iOS e Android; segundo a Sekoia, um usuário com sistema operacional atualizado está a salvo desses ataques. Todos os CVEs explorados já possuem correção dos fornecedores.
- Vetor
- Watering hole com três vias de entrega: scripts injetados em sites legítimos, domínios lookalike que faziam proxy de sites reais acrescentando scripts, e o comprometimento do rastreador Plerdy (27 de agosto a 3 de setembro). Visitantes eram fingerprinted e recebiam cadeias de exploits conforme o dispositivo; sem interação do usuário e sem persistência estabelecida.
- Mais detalhes
- CVEs usados: CVE-2025-43529, CVE-2024-27834, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520, CVE-2026-3910 e CVE-2025-27038. O kit DarkSword é suspeito pela Sekoia de ter sido desenvolvido por fornecedor comercial de vigilância. Sites expostos incluíram produtor ucraniano de gás, sites militares e de equipamentos militares ucranianos, associação comercial da indústria química dos EUA, movimento de extrema-direita tcheco e site militar búlgaro; domínios lookalike imitavam a iniciativa America250 e um hotel de Londres. Campanha anterior do APT29 descrita pelo Google em 2024 usava filtro fixo contra sites do governo mongol; esta não tinha filtro e coletava qualquer cookie do navegador.
Linha do tempo
Pesquisa atribui ao APT29 o sequestro do Plerdy para distribuir exploits n-day a celulares.
Fontes 1 fonte
- APT29 Watering Holes Target Unpatched iPhones and Android Devices Infosecurity Magazine
