Хакери заразили або скопіювали сайти в США, Україні, Чехії та Болгарії, щоб красти дані з телефонів відвідувачів. Про це повідомила французька компанія з кібербезпеки Sekoia у технічному звіті. Серед цих сайтів є болгарський, пов'язаний з армією.

Кампанію виявила команда Sekoia з пошуку загроз і досліджень (TDR) у середині жовтня 2026 року. У компанії вважають, що за атаками, імовірно, стоїть російська група APT29. Її також знають під назвами Midnight Blizzard, Cozy Bear і The Dukes.

Групу пов'язують з Росією. Зазвичай її діяльність приписують Службі зовнішньої розвідки РФ (SVR). Упевненість Sekoia в цьому висновку — від середньої до високої. Висновок спирається на технічні збіги та на те, як діють нападники.

Це атака типу «водопій». Шкідливий код підкладають на сайти, які жертви відвідують самі. Нападники націлені на телефони з iOS та Android. Дані крадуть без жодних дій користувача.

Sekoia знайшла три шляхи зараження. У першому випадку нападники вставили JavaScript прямо в справжні сайти. У другому зареєстрували домени-двійники, які стоять посередниками між відвідувачем і справжньою сторінкою. Третій шлях іде через зламану програму для вебаналітики Plerdy SEO Tracker.

Усі три шляхи ведуть до одного коду, який завантажує зовнішній скрипт. Скрипт вивчає браузер і пристрій відвідувача. Сервер нападників добирає за версією телефона та браузера готовий ланцюжок атак. Він використовує відомі вразливості, які ще не виправили. Користувачеві нічого робити не потрібно.

Один із ланцюжків — DarkSword, набір для атак на iOS. За даними Sekoia, його, імовірно, створив комерційний постачальник шпигунського софту. У вересні 2026 року набір завантажили на VirusTotal.

Фінальний шкідливий код викрадає з iPhone кукі браузера або всі дані з пристрою. З телефонів на Android він забирає дані Chrome і паролі до Wi-Fi. Назавжди в пристрої він не залишається.

Розслідування почалося з сайту української газовидобувної компанії. У верхній частині сайту фахівці знайшли шкідливий JavaScript, вставлений в основний шаблон. Після завантаження сторінки він додає зовнішній файл, який нападники назвали UltimateFingerprinter. Файл лежить на static.flux-telemetry[.]com з IP 109.104.106[.]107 (AS395092).

Такий самий спосіб Sekoia виявила й у великої галузевої асоціації американських хімічних компаній. Його знайшли і на сайті європейської крайньоправої партії. На болгарському сайті, пов'язаному з армією, хакери підмінили наявну бібліотеку JavaScript. На деяких сайтах шаблон не чіпали. Шкідливий код додали до справжнього файлу JavaScript, який сайт уже використовував.

Коли нападникам не вдавалося зламати справжній сайт, вони реєстрували двійник, ідеться у звіті. Двійники підмінюють сторінку на льоту й вставляють JavaScript у її нижню частину.

Перший двійник — america250[.]holiday. Він стоїть перед america250.org, офіційним сайтом національної ініціативи до 250-річчя незалежності США. Цей сайт захищений Cloudflare. За оцінкою Sekoia, його, імовірно, обрали через велике національне святкування. Двійник міг правити за привід для цільового фішингу із запрошеннями.

Другий двійник, theowo[.]club, уже не працює. Він копіював сайт розкішного готелю Raffles London at The OWO, який міститься в історичній будівлі Old War Office у Лондоні. Готель розташований поблизу Міністерства оборони Великої Британії та 10 Downing Street — резиденції й офісу британського прем'єра.

За даними з відкритих джерел, президент України Володимир Зеленський зупинявся там під час візиту 14 жовтня. У Sekoia припускають, що через двійник готелю нападники могли хотіти дістатися до дипломатичних делегацій і високопоставлених гостей за допомогою цільового фішингу.

Третій шлях — Plerdy, українська програма для аналізу відвідувачів, яка працює з домену a.plerdy[.]com. Її завантажують тисячі сайтів, переважна більшість із них — українські. Ланцюжок постачання цієї послуги, імовірно, зламали в період з 27 серпня до 3 вересня 2026 року.

Лише за цей тиждень під удар потрапили сотні справжніх сайтів. Через Plerdy зараза дісталася сайтів армії, спецпідрозділів і виробників військової техніки, зокрема балістики та безпілотних літальних апаратів.

За словами Sekoia, багато сайтів із Plerdy, імовірно, приваблюють відвідувачів, цінних для нападників через війну Росії проти України. Яка саме була мета, компанія не знає. Нападники могли цілитися в людей з конкретних сайтів. А могли масово заражати невиправлені телефони й потім добирати цінні дані.

До сервера нападників надходили запити й від сайтів без видимого стратегічного зв'язку. Їх об'єднує одне: усі вони завантажують Plerdy SEO Tracker. Яку цінність мають деякі з уражених сайтів, лишається незрозумілим. У Sekoia з низьким ступенем упевненості припускають, що частину сайтів могли обрати через конкретних людей, а не в межах широкої стратегії.

Sekoia працює з групами реагування на кіберінциденти (CERT) постраждалих країн. Разом вони намагаються встановити жертв і знайти спосіб відключити сервери та домени нападників.