Хакери са заразили или копирали сайтове в САЩ, Украйна, Чехия и България, за да крадат данни от телефоните на посетителите. Сред тях е български сайт, свързан с армията, съобщиха от френската компания за киберсигурност Sekoia в технически доклад.

Кампанията откри екипът на компанията за откриване на заплахи и проучване (TDR) в средата на октомври 2026 г. Зад нападенията вероятно е руската APT29, позната и с имената Midnight Blizzard, Cozy Bear и The Dukes, смятат от Sekoia.

Групата е с руска връзка и по принцип се приписва на Службата за външно разузнаване на РФ (SVR). Увереността на компанията в този извод е от средна до висока и се опира на технически съвпадения и на начина, по който действат нападателите.

Атаката е от типа „водопой“: зловреден код се поставя в сайтове, които жертвите посещават сами. Целта са телефоните с iOS и Android, а данните се крадат без намеса на потребителя.

Sekoia откри три пътя на заразяване. При първия нападателите са вмъкнали JavaScript директно в истински сайтове. При втория са регистрирали домейни-двойници, които стоят като посредник между посетителя и истинската страница. Третият минава през компрометираната програма за уеб анализ Plerdy SEO Tracker.

И трите пътя водят до един и същ код, който зарежда външен скрипт. Скриптът проучва браузъра и устройството на посетителя, а сървърът на нападателите подбира според версията на телефона и браузъра готова верига от атаки. Тя използва известни уязвимости, които още не са поправени, и не изисква никакво действие от потребителя.

Една от веригите е DarkSword, комплект за атака срещу iOS. Според Sekoia вероятно е създаден от търговски доставчик на шпионски софтуер и през септември 2026 г. е бил качен във VirusTotal.

Крайният зловреден код краде от iPhone бисквитките на браузъра или всички данни от устройството. От телефоните с Android взема данни от Chrome и пароли за Wi-Fi. Не остава трайно в устройството.

Разследването започна от сайта на украинска компания за добив на газ. В горната му част експертите намериха зловреден JavaScript, вмъкнат в основния шаблон. След зареждането на страницата той добавя външен файл, който нападателите са нарекли UltimateFingerprinter. Файлът се намира на static.flux-telemetry[.]com, с IP 109.104.106[.]107 (AS395092).

Същият начин Sekoia откри и при голяма браншова асоциация на американски компании от химическата индустрия, и при сайта на крайнодясна европейска политическа партия. В българския сайт, свързан с армията, хакерите са подменили съществуваща JavaScript библиотека. На някои сайтове шаблонът не е пипан, а зловредният код е добавен към истински JavaScript файл, който сайтът вече използва.

Когато не успявали да пробият истински сайт, нападателите регистрирали двойник, пише в доклада. Двойниците подменят страницата в движение и вмъкват JavaScript в долния ѝ край.

Първият е america250[.]holiday. Стои пред america250.org, официалния сайт на националната инициатива за 250-ата годишнина от независимостта на САЩ, който е защитен с Cloudflare. Според Sekoia сайтът вероятно е избран заради голямото национално честване и може да е служил за претекст за целеви фишинг с покани.

Вторият, theowo[.]club, вече е офлайн. Той копираше сайта на луксозния хотел Raffles London at The OWO, който се помещава в историческата сграда Old War Office в Лондон. Хотелът е близо до Министерството на отбраната на Великобритания и до 10 Downing Street, резиденцията и офиса на британския премиер.

Според открити източници украинският президент Володимир Зеленски е отсядал там при посещение на 14 октомври. От Sekoia допускат, че чрез двойника на хотела нападателите може да са искали да стигнат до дипломатически делегации и високопоставени гости с целеви фишинг.

Третият път е Plerdy, украинска програма за анализ на посетителите, която работи от домейна a.plerdy[.]com. Зарежда се от хиляди сайтове, огромната част от които са украински. Веригата за доставки на услугата вероятно е била компрометирана от 27 август до 3 септември 2026 г.

Само за тази седмица стотици легитимни сайтове са били изложени на атаката. Чрез Plerdy заразата е стигнала до сайтове на армията, на специални части и на производители на военна техника, включително балистика и безпилотни летателни апарати.

Според Sekoia много от сайтовете с Plerdy вероятно привличат посетители, които са ценни за нападателите заради войната на Русия срещу Украйна. Компанията не е сигурна дали целта са били хората на конкретни сайтове, или масово заразяване на непоправени телефони и после подбор на ценните данни.

Към сървъра на нападателите са идвали запитвания и от сайтове без видима стратегическа връзка. Общото между тях е, че всички зареждат Plerdy SEO Tracker. Стойността на част от засегнатите сайтове остава неясна, а с ниска степен на увереност от Sekoia допускат, че някои може да са избрани заради конкретни хора, а не като част от широка стратегия.

Sekoia работи с екипите за реагиране при киберинциденти (CERT) на засегнатите държави. Заедно се опитват да установят жертвите и да намерят начин да прекъснат сървърите и домейните на нападателите.