Onderzoekers van Sekoia melden dat een door Rusland gelinkte dreigingsactor, bekend als Midnight Blizzard (onder andere APT29/Cozy Bear), iOS- en Android-gebruikers benaderde via watering holes exploitketens. Het gaat om aanvallen waarbij slachtoffers meestal niet hoeven te klikken: de techniek bouwt voort op zogeheten zero-click of zeer beperkte interactie, en zet daarna kwetsbaarheden uit in een keten van exploits.
Omdat de campagne ook gebruikmaakt van compromis of nabootsing van bekende websites (inclusief een supply chain-truc bij webanalytics), is dit geen “op zichzelf staand” incident. Het is vooral een signaal dat mobiele beveiliging steeds vaker via de browser en webinfrastructuur wordt aangevallen.
Wat zijn watering holes exploitketens precies?
Bij watering holes wordt een “gat” in de omgeving van potentiële slachtoffers uitgebuit: aanvallers richten zich op websites die het doelpubliek bezoekt. In deze casus bleken partijen websites te zijn die door organisaties en hun omgeving gebruikt worden, waaronder een Oekraïense gasproducent, een grote branchevereniging en een Europese politieke partij.
De aanvallers voegden op gecompromitteerde pagina’s kwaadaardige JavaScript toe. Eerst proberen ze bezoekers te vingerafdrukken door browser- en toestelconfiguratiegegevens te verzamelen. Pas wanneer de aanvaller de juiste “targetprofielen” herkent, leveren ze de exploit(keten) af.
Aanvalstechniek: vingerafdrukken, AiTM en proxy-domeinen
Naast het inbedden van code in echte of nagemaakte websites beschrijft Sekoia een opzet die lijkt op adversary-in-the-middle (AiTM). Daarbij registreerde de aanvaller twee lookalike domeinen die als reverse proxies fungeerden.
Door deze omweg konden ze inhoud in “kopieën” van bekende sites injecteren. In het bijzonder worden namen genoemd zoals america250.org (de 250e verjaardag van de Amerikaanse onafhankelijkheid) en de website van Raffles London, gekoppeld aan The OWO in de buurt van gevoelige overheidsinstellingen in het VK.
Deze constructie past goed bij gerichte scenario’s: als hoge profielen of delegaties een locatie bezoeken, is de kans groter dat zij (en hun apparaten) relevante webpagina’s bezoeken, waardoor spear-phishing later makkelijker kan worden.
Supply chain aanval via webanalytics: Plerdy
Een ander belangrijk onderdeel is een supply chain route. Sekoia meldt dat de aanvallers een malicious code toevoegden aan een trackerbestand van Plerdy, een Oekraïense webanalytics-dienst.
Het effect: honderden websites kregen gedurende ongeveer een week dezelfde kwaadaardige tracker mee, waaronder sites die te maken hebben met leger, special forces en militaire uitrusting (zoals ballistic en UAV).
Dit soort besmetting is extra lastig te detecteren voor eindgebruikers, omdat de “fout” niet in het apparaat zit maar in de webtrackinglaag die breed wordt ingeladen.
Drie exploitketens: iOS twee keer, Android één keer
De onderzoekers onderscheiden drie exploit chains die over de campagne zijn ingezet: twee gericht op iOS en één op Android. Opvallend is dat de ketens doelen op eerder gepatchte kwetsbaarheden. Dat betekent doorgaans: veel organisaties lopen achter met updates, óf de aanval richt zich op specifieke versies of configuraties waarin nog kwetsbaarheden aanwezig blijken.
iOS-keten 1: DarkSword en omzeiling van PAC
Voor de iOS-exploitketens wordt sterk verwezen naar DarkSword, een exploit kit die eerder dit jaar werd blootgelegd. De eerste keten bouwt onder meer voort op remote code execution (RCE) om arbitraire read/write mogelijk te maken.
Daarna volgt een stap om Pointer Authentication Codes (PAC) te omzeilen en vervolgens code uit te voeren die cookies buiten Safari kan stelen.
De keten gebruikt hierbij CVE-2024-27834. Volgens Sekoia is deze kwetsbaarheid gepatcht in mei 2024 in onder andere iOS/iPadOS 17.5 en 16.7.8, én in macOS Sonoma 14.5 en verschillende Safari-/OS-varianten. Later werd de kwetsbaarheid ook opgenomen in CISA’s KEV-catalogus met de oproep aan federale instanties om binnen twee weken te patchen.
iOS-keten 2: DarkSword tot en met privilege escalation
De tweede iOS-keten vertrouwt volgens Sekoia voornamelijk op DarkSword voor de eerste toegang, code-executie en privilege escalation. De uiteindelijke payload is gericht op volledige gegevensroof van het apparaat.
Daarbij worden onder meer berichten, e-mails, voicemails, credentials en tokens genoemd, maar ook contacten, oproepen, agenda-items, browsercookies en -geschiedenis. Verder richt de payload zich op foto’s en inhoud die op iCloud Drive staat.
Met andere woorden: dit is niet “alleen” een poging tot device compromise, maar een route naar brede exfiltratie van persoonlijke gegevens.
Android-keten: Chrome- en Qualcomm-kwetsbaarheden
De laatste keten is voor Android. Die gebruikt CVE-2026-3910, een Chrome-kwetsbaarheid die in maart als zero-day is gepatcht, en daarnaast CVE-2025-27038, een Qualcomm-issue die via de Android August 2025 security update is opgelost.
De payload heet AndroSnitch en richt zich specifiek op data in Chrome: cookies, accountinformatie, wachtwoorden, browsergeschiedenis en wifi-wachtwoorden.
De naam en aanpak lijken bovendien op AndroSnatch, een Chrome-cookie-steler waar Google TAG eerder melding van maakte in Midnight Blizzard-aanvallen in 2023 en 2024.
Waarom dit belangrijk is voor organisaties en gebruikers
Sekoia benadrukt dat het gebruik van “verpakte” n-day exploitketens de drempel verlaagt. Dat betekent: het kost aanvallers minder tijd en technische expertise om mobiele exploitatie uit te voeren. Op termijn kan dat leiden tot vaker hergebruik en bredere verspreiding van dit soort exploitchains door staatsgelieerde groepen.
Voor defenders is de kernboodschap simpel: updates zijn essentieel, maar ook monitoring van webafhankelijkheden (zoals analytics- en trackingcomponenten) wordt belangrijker.
Wil je meer context over hoe dreigingen via web- en endpointketens kunnen binnenkomen? Lees dan ook ons stuk over device code phishing in oktober 2026, waarin we ingaan op misbruik van authenticatieflows.
Wat kun je nu doen?
Omdat het hier gaat om gepubliceerde kwetsbaarheden en exploitketens die eerdere patches benutten, draait herstel vooral om het verkleinen van je “attack surface”. Concreet:
- Update iOS en iPadOS snel: controleer of je toestellen op de laatste beveiligingsversies draaien, inclusief Safari-componenten waar dat van toepassing is.
- Update Android en Chrome: zorg dat zowel het OS als Chrome tijdig patched is, zeker bij teams met veel mobiele gebruikers.
- Beperk data-exposure: overweeg waar mogelijk extra bescherming voor cookies en sessiegegevens (bijvoorbeeld door waar relevant sessiebeheer en accountbeveiliging aan te scherpen).
- Let op webtracking en third parties: als je een rol hebt bij webbeheer, kijk naar je analytics- en tag-infrastructuur en zorg dat integraties actueel en controleerbaar zijn.
- Herken afwijkend gedrag: let op verdachte log-in gebeurtenissen, ongebruikelijke sessie-acties of sporen van datadiefstal na bezoek aan relevante websites.
Als je vooral wilt focussen op hoe je prioriteiten stelt bij het patchen en afdekken van exploitbare kwetsbaarheden, kan het helpen om te starten met exposure prioritization: 4 elementen met bewijs.
Conclusie
De melding van Sekoia laat zien dat watering holes exploitketens steeds vaker worden ingezet om iOS- en Android-apparaten aan te vallen via webinjecties, vingerafdrukken en (waar relevant) AiTM-achtige proxyconstructies. Daarbij worden gepatchte kwetsbaarheden gecombineerd in exploitketens die uiteindelijk kunnen leiden tot brede gegevensroof.
De beste verdediging blijft: snel updaten, aandacht voor browser- en webcomponenten, en alertheid op signalen van compromis. Daarmee verklein je de kans dat een bezoek aan een “vertrouwde” website verandert in een aanvalsketting op je mobiele apparaat.
