Схема старая, но исполнение аккуратное. APT29 (Cozy Bear), которую западные исследователи связывают с российскими спецслужбами, компрометирует легитимные сайты и вставляет в них JavaScript. Дальше посетитель с мобильным устройством перенаправляется на похожие на настоящие домены, где его встречает эксплойт-цепочка под конкретную платформу.
Для iOS используется цепочка, которую исследователи называют DarkSword, — та же, что фигурировала в октябрьских сообщениях о zero-click атаках. Для Android — свои цепочки. Отдельная деталь: чтобы расширить охват, атакующие скомпрометировали украинский сервис веб-аналитики — то есть скрипт, который стоит на множестве сайтов.
Уязвимости не новые. В цепочках фигурируют CVE-2025-43529 и CVE-2024-27834 — известные дыры, закрытые в обновлениях. Расчёт на то, что телефон не обновляли. После заражения собирают cookies, сохранённые пароли Wi-Fi и подробные данные об устройстве.
Кто в зоне риска
Sekoia называет США, Украину, Чехию и Болгарию; цели — журналисты, госслужащие и другие люди с мобильным рабочим процессом. Координация с национальными CERT идёт прямо сейчас: нужно найти пострадавших и погасить инфраструктуру.
Что делать
Обновить телефоны — это единственное надёжное действие, потому что эксплойты бьют по уже закрытым дырам. Для тех, кто в зоне риска: держать на устройстве минимум рабочих данных, не открывать ссылки с незнакомых сайтов, включить блокировку загрузки профилей и отслеживать необычную активность аккаунтов.
Организациям стоит напомнить сотрудникам, что «сайт выглядел нормально» здесь ничего не значит: заражали в том числе известные ресурсы.
The playbook is old, the execution careful. APT29 (Cozy Bear), which Western researchers link to Russian intelligence, compromises legitimate websites and injects JavaScript. A visitor on a mobile device is then redirected to lookalike domains where a platform-specific exploit chain waits.
For iOS the chain is one researchers call DarkSword — the same name that appeared in October reporting on zero-click attacks. Android has its own chains. One detail stands out: to widen reach, the attackers compromised a Ukrainian web analytics service, meaning a script that sits on many sites.
The vulnerabilities are not new. The chains use CVE-2025-43529 and CVE-2024-27834 — known flaws already fixed in updates. The bet is on a phone that was never patched. After infection, the malware collects cookies, saved Wi-Fi passwords and detailed device data.
Who is at risk
Sekoia names the US, Ukraine, Czechia and Bulgaria; targets are journalists, government staff and others with mobile-heavy workflows. Coordination with national CERTs is under way to find victims and disrupt the infrastructure.
What to do
Updating phones is the only reliable action, because the exploits rely on flaws that are already closed. For those at risk: keep minimal work data on the device, avoid links from unfamiliar sites, block profile installs, and watch accounts for unusual activity.
Organisations should remind staff that “the site looked normal” means nothing here: some of the poisoned sites were well-known resources.