Een groep die gelinkt wordt aan APT29 zou een grootschalige campagne draaien waarbij watering hole web analytics worden misbruikt om bezoekers van compromisde websites te infecteren. De aanpak richt zich op iOS- en Androidgebruikers en combineert geïnjecteerde JavaScript-codes met exploit chains die afhankelijk van het toestel en de browser worden geactiveerd.
Wat het extra verontrustend maakt: de aanvallen zijn niet bedoeld als “klik-verhaal”. In veel scenario’s volstaat het openen van een pagina om de keten op gang te brengen, waarna de malware gegevens verzamelt en exfiltreert.
Wat is watering hole web analytics en waarom werkt het?
Bij een watering hole-aanval worden legitieme of ogenschijnlijk normale websites misbruikt om doelgroepen te treffen. In dit geval gaat het om scripts die lijken op reguliere webtracking, maar die in werkelijkheid een keuzeprogramma bevatten voor het vervolg. De aanvaller haalt eerst informatie op over de browser en het apparaat en bepaalt dan welke volgende stap passend is.
Door dit te koppelen aan web analytics, wordt de drempel lager: gebruikers verwachten dat trackingcode op websites draait. Het kwaad zit in het feit dat de code niet alleen registreert, maar ook een loader aanbiedt die op basis van het device een exploitpad activeert.
Drie infectiekanalen achter dezelfde payload
Onderzoekers beschreven een campagne die onder de naam Poisoned Source werd ontdekt. Volgens Sekoia loopt de aanval via drie routes, maar de uitkomst is steeds dezelfde: een JavaScript loader die bezoekers profileert en vervolgens de juiste exploit chain levert.
1) Geïnjecteerde code via legitieme websites
Bepaalde echte websites zouden zijn gecompromitteerd om kwaadaardige JavaScript in hun pagina’s te injecteren. Daardoor krijgen bezoekers “normale” paginaweergaves, terwijl de achtergrondcode al klaarligt voor het vervolg.
2) Lookalike domeinen die op bekende partijen lijken
Daarnaast zouden aanvallers domeinen hebben opgezet die sterk lijken op bekende doelwebsites. Er wordt gesproken over lookalikes die gekoppeld zijn aan landen/regio’s zoals de VS, Oekraïne, Tsjechië en Bulgarije. Het idee is dat bezoekers denken bij een herkenbare bron te landen, terwijl ze in feite op een nabootsing terechtkomen.
3) Supply-chain compromis van Plerdy SEO Tracker
De derde route is opvallend: watering hole web analytics via een supply-chain aanval op een Oekraïense web analyticsdienst, Plerdy SEO Tracker. Tussen 27 augustus en 3 september 2026 zou er kwaadaardige code zijn geïnjecteerd in een JavaScriptbestand op het domein “a.plerdy[.]com/public/js/click/main.js”.
Hierdoor konden veel websites die Plerdy-codetags gebruiken, onbedoeld de geïnfecteerde JavaScript aan hun bezoekers doorgeven.
Doeldata: van cookies tot apparaat- en netwerkgegevens
De uiteindelijke doelen zijn in meerdere gradaties zichtbaar. In eerste instantie gaat het vaak om het stelen van browsercookies. Daarnaast worden ook gevoelige authenticatie- en apparaatdata genoemd.
Voor sommige iOS-scenario’s gaat de verzameling veel verder, met onder meer Wi‑Fi-wachtwoorden, volledige apparaatdata en informatie uit apps en database-achtige bronnen. Voor Android wordt genoemd dat er gegevens uit Chrome en Wi‑Fi-wachtwoorden worden geëxfiltreerd.
De exfiltratie zou plaatsvinden richting een specifieke endpoint: ad.starx-net[.]com:8881/telemetry/v12.
Hoe de exploit chain verschilt per platform
Volgens de analyse is er niet één universele aanval, maar een set van paden die afhangen van het toestel en de softwareversie. De campagne bevatte verschillende exploit “klassen” voor iOS en een andere keten voor Android.
iOS: meerdere klassen voor verschillende toestelversies
Voor iOS werden drie klassen onderscheiden:
- Class A: gericht op iOS 16.7 met exploit-koppelingen die leiden naar JavaScript malware voor het stelen van cookies.
- Class B: gericht op iOS 18.5 en levert een route die “full device data exfiltration” mogelijk maakt, inclusief informatie zoals sms/iMessage-achtige inhoud, mailgerelateerde indexen, voicemail, WhatsApp/Telegram-databases, iCloud Keychain, Wi‑Fi-wachtwoorden, contacten, belgeschiedenis, Safari-geschiedenis en cookies, plus data uit o.a. Apple Health, Agenda/Calendar, Notities en iCloud Drive.
- Class C: (iOS) wordt in het overzicht genoemd als onderdeel van de exploit-logica voor andere versies, waarbij de keten afhankelijk is van wat de loader detecteert.
Android: Chrome- en toestelchecks en uiteindelijk AndroSnitch
Voor Android werd een keten beschreven die Chrome versies van 139 tot en met 145 beïnvloedt (met een expliciete uitzondering voor versie 143). De combinatie van kwetsbaarheden leidt uiteindelijk naar een payload die wordt aangeduid als AndroSnitch.
Belangrijk detail: in de Android-attack chain zit een controle die bekijkt of het doelapparaat een specifieke Samsung Galaxy S25 Ultra is (modelidentifier SM-S938B). Als die match ontbreekt, zou de exploitactie worden beëindigd. Dat wijst erop dat de aanvallers selectief werkten in plaats van breed “blind” te misbruiken.
Waarom dit als “state-sponsored” aanvoelt
Onderzoekers geven aan dat deze operatie de hergebruik van mobiele exploit-frameworks bevestigt, waaronder kits zoals DarkSword. Het concept van “verpakte N-day exploit chains” verlaagt de technische drempel en verlaagt de kosten voor geavanceerde mobiele exploitatie, omdat de ketens al klaar liggen om te worden geactiveerd.
De campagne zou bovendien niet alleen gericht zijn op generieke bezoekers. Er wordt gesuggereerd dat de opzet kon zijn om specifieke personen te treffen, al is niet volledig duidelijk welke intentie precies leidend was: veel ongevaccineerde apparaten proberen te beïnvloeden, of selectief doelen vinden binnen een bredere verspreiding.
Extra context: Coruna en DarkSword blijven evolueren
Deze ontdekking komt enkele weken na meldingen over varianten van DarkSword die via ad-gedreven infrastructuur werden geleverd, inclusief gevallen waarbij advertenties en “half-click” technieken betrokken zouden zijn.
Daarnaast wordt een criminal campaign beschreven onder de naam DeadTag, waarbij verlopen domeinen worden ingezet die nog steeds door veel websites worden geladen via oude tags voor advertenties/analytics. De aanval lijkt te focussen op iPhonebezoekers en gebruikt exploit kits die niet leunen op phishingpagina’s of nep-app downloads. In plaats daarvan richt de kit zich op de browser zelf: simpelweg het openen van de pagina kan al genoeg zijn om een compromis te veroorzaken, afhankelijk van de iOS-versie.
Verder wordt genoemd dat sommige lure-sites bezoekers instrueren om een in-app browser te verlaten en de link in Safari te openen om zo de exploit chain op het juiste besturingssysteem te activeren.
Wat kunt u doen: praktische aandachtspunten
Omdat de aanvallen via webcontent en analytics lopen, ligt de focus niet alleen op “endpoints”, maar ook op hoe websites en third-party scripts worden beheerd.
Houd mobiele OS’s en browsers up-to-date
Zonder exacte fixes voor elke kwetsbaarheid is het algemene advies simpel: zorg dat iOS en Android (inclusief relevante browsercomponenten) zo snel mogelijk up-to-date zijn. De beschreven ketens zijn sterk afhankelijk van specifieke versies.
Minimaliseer en audit third-party web analytics
Als u marketing- of trackingtags gebruikt: controleer waar uw analyticscode vandaan komt, wie er toegang heeft, en of er monitoring is op ongebruikelijke codewijzigingen. De supply-chain component maakt duidelijk dat “legitieme” leveranciers niet automatisch veilig zijn.
Let op abnormaal gedrag op mobiele pagina’s
Wanneer gebruikers melden dat een pagina anders reageert dan verwacht, of dat er plotseling dataverzameling lijkt te starten, onderzoek dan de contentbronnen. Het gaat hier om situaties waarin de compromisroute vaak via JavaScript loader-mechanismen start.
Vergroot awareness over watering hole scenario’s
Medewerkers en IT-teams moeten weten dat aanvallen niet altijd beginnen met een mail of een “download”. Een gecompromitteerde website of een misbruikte analytics-tag kan genoeg zijn om een keten te starten.
Voor aanvullende achtergrond over vergelijkbare aanvalspatronen kunt u ook lezen: agent runtime security: waarom één laag niet genoeg is. Dat artikel helpt om te begrijpen waarom beveiliging meerdere controlepunten nodig heeft, zeker bij threats die via softwaregedrag en runtime draaien.
Conclusie
De gemelde campagne rond APT29 laat zien hoe krachtig watering hole web analytics kan zijn: geïnjecteerde JavaScript profielen bezoekers, kiest daarna een exploitpad en kan uiteindelijk cookies, netwerktoegang en grote hoeveelheden device-informatie wegsluizen. Omdat de route via supply-chain en compromisde websites loopt, is een goede combinatie nodig van patchen, third-party auditing en strakke monitoring op webcontent.
Heeft u third-party tracking of SEO/analytics scripts in productie? Dan is dit een extra reden om leveranciers, integraties en codewijzigingen serieus te controleren—juist omdat deze aanvallen zich verschuilen achter “normale” webfunctionaliteit.
Gerelateerd: DNS-hijacking via Sogou: DarkVigil backdoor laat zien hoe kwaadaardige infrastructuur ook via schijnbaar legitieme paden kan worden opgezet.
Bron: https://thehackernews.com/2026/11/apt29-linked-hackers-hijack-web.html
