Sekoia в разборе Poisoned Source связала взлом сервиса веб-аналитики Plerdy с кампанией против не обновлённых iPhone и Android-устройств. Посещение заражённой страницы запускало проверку браузера и подбор цепочки эксплуатации: устанавливать приложение или дополнительно нажимать на что-либо не требовалось.

Plerdy подтверждает, что атакующий вошёл на серверы с украденными учётными данными администратора. С 27 августа по 3 сентября её скрипт содержал посторонний код, загружавший программу с внешнего домена. Компания сообщает об удалении кода 3 сентября, замене серверных учётных данных и сбросе паролей клиентов на следующий день. Это августовско-сентябрьский инцидент, а не новая атака в ноябре.

Исследователи получили три полные цепочки с инфраструктуры, найденной на другом взломанном сайте. Они нацелены на кражу cookies и учётных данных; один вариант для iOS собирает также базы мессенджеров и фотографии, вариант для Android — данные Chrome и пароли Wi-Fi. Внешний скрипт из цепочки Plerdy получить уже не удалось. Связь с общей кампанией Sekoia оценивает с умеренно высокой уверенностью по совпадению имени файла и инфраструктуре перенаправлений.

Число заражённых телефонов не установлено. Тысячи сайтов, использующих Plerdy, не означают тысячи успешных взломов. Сама Plerdy заявляет, что не нашла доказательств кражи данных о посетителях клиентских сайтов; подтверждён доступ к контактным данным её клиентов. Это отдельные категории данных.

Sekoia с умеренно высокой уверенностью связывает кампанию с APT29. Все полученные цепочки используют ранее исправленные уязвимости и, по результатам анализа, не работают против полностью обновлённых устройств. Значение исследования — в связке общего веб-поставщика и готовых мобильных эксплойтов, а не в открытии новой уязвимости.