Хакеры заразили или скопировали сайты в США, Украине, Чехии и Болгарии, чтобы красть данные с телефонов посетителей. Среди них есть болгарский сайт, связанный с армией. Об этом сообщила французская компания по кибербезопасности Sekoia в техническом докладе.

Кампанию обнаружила команда компании по выявлению угроз и исследованиям (TDR) в середине октября 2026 года. В Sekoia считают, что за атаками, вероятно, стоит российская группа APT29. Её также называют Midnight Blizzard, Cozy Bear и The Dukes.

Группа связана с Россией, и обычно её действия приписывают Службе внешней разведки РФ (СВР). Уверенность компании в этом выводе — от средней до высокой. Выводы Sekoia основаны на технических совпадениях и на том, как действуют нападавшие.

Это атака типа «водопой»: вредоносный код подкладывают на сайты, которые жертвы посещают сами. Цель — телефоны на iOS и Android. Данные крадут без участия пользователя.

Sekoia нашла три способа заражения. В первом случае нападавшие встроили JavaScript прямо в настоящие сайты. Во втором зарегистрировали домены-двойники, которые стоят посредником между посетителем и настоящей страницей. Третий путь идёт через взломанную программу веб-аналитики Plerdy SEO Tracker.

Все три пути ведут к одному и тому же коду, который загружает внешний скрипт. Скрипт изучает браузер и устройство посетителя. Затем сервер нападавших выбирает готовую цепочку атак под версию телефона и браузера. Она использует известные уязвимости, которые ещё не закрыты, и не требует от пользователя никаких действий.

Одна из цепочек — DarkSword, набор для атак на iOS. По данным Sekoia, его, вероятно, создал коммерческий поставщик шпионского ПО. В сентябре 2026 года набор загрузили на VirusTotal.

Конечный вредоносный код забирает с iPhone cookie браузера или все данные устройства. С телефонов на Android он берёт данные Chrome и пароли от Wi-Fi. Насовсем в устройстве он не остаётся.

Расследование началось с сайта украинской газодобывающей компании. В верхней части страницы эксперты нашли вредоносный JavaScript, встроенный в основной шаблон. После загрузки страницы он добавляет внешний файл, который нападавшие назвали UltimateFingerprinter. Файл лежит на static.flux-telemetry[.]com, IP-адрес — 109.104.106[.]107 (AS395092).

Такой же приём Sekoia нашла у крупной отраслевой ассоциации американских химических компаний и на сайте крайне правой европейской политической партии. На болгарском сайте, связанном с армией, хакеры подменили существующую библиотеку JavaScript. На некоторых сайтах шаблон не трогали, а вредоносный код дописали к настоящему файлу JavaScript, который сайт уже использует.

Если взломать настоящий сайт не удавалось, нападавшие регистрировали двойник, говорится в докладе. Двойники на лету подменяют страницу и добавляют JavaScript в её нижнюю часть.

Первый из них — america250[.]holiday. Он стоит перед america250.org, официальным сайтом национальной инициативы к 250-летию независимости США, который защищён Cloudflare. По мнению Sekoia, сайт, вероятно, выбрали из-за большого национального праздника. Он мог служить предлогом для целевого фишинга с приглашениями.

Второй, theowo[.]club, сейчас не работает. Он копировал сайт роскошного отеля Raffles London at The OWO, который находится в историческом здании Old War Office в Лондоне. Отель расположен недалеко от Министерства обороны Великобритании и 10 Downing Street, резиденции и офиса британского премьер-министра.

По данным открытых источников, президент Украины Владимир Зеленский останавливался там во время визита 14 октября. В Sekoia допускают, что с помощью двойника отеля нападавшие могли хотеть добраться до дипломатических делегаций и высокопоставленных гостей через целевой фишинг.

Третий путь — Plerdy, украинская программа для анализа посетителей, которая работает с домена a.plerdy[.]com. Её загружают тысячи сайтов, подавляющее большинство — украинские. Цепочка поставок сервиса, вероятно, была взломана с 27 августа по 3 сентября 2026 года.

Только за эту неделю атаке подверглись сотни настоящих сайтов. Через Plerdy заражение дошло до сайтов армии, спецподразделений и производителей военной техники, в том числе баллистики и беспилотников.

По мнению Sekoia, многие сайты с Plerdy, вероятно, привлекают посетителей, которые ценны для нападавших из-за войны России против Украины. В компании не уверены, что целью были люди с конкретных сайтов. Возможно, нападавшие массово заражали телефоны с незакрытыми уязвимостями, а потом отбирали ценные данные.

Запросы к серверу нападавших приходили и с сайтов без видимой стратегической связи. Общее у них одно: все они загружают Plerdy SEO Tracker. Ценность части затронутых сайтов остаётся неясной. В Sekoia с низкой степенью уверенности допускают, что некоторые сайты могли выбрать из-за конкретных людей, а не как часть широкой стратегии.

Sekoia работает с группами реагирования на киберинциденты (CERT) в затронутых странах. Вместе они пытаются выяснить, кто стал жертвой, и найти способ отключить серверы и домены нападавших.