Supply Chain Plerdy sotto attacco APT29: siti “innocui” infettano iOS e Android con watering hole ed exploit mirati

Una nuova campagna di cyber spionaggio attribuita al gruppo APT29 sta sfruttando la tecnica del watering hole per colpire utenti iOS e Android attraverso siti web compromessi e domini falsi. Il punto più insidioso è la compromissione della supply chain di un servizio di web analytics chiamato Plerdy SEO Tracker, utilizzato da molti siti per tracciare statistiche e comportamento dei visitatori.

In pratica, gli aggressori hanno inserito codice JavaScript malevolo in uno script remoto, facendo sì che i siti che lo caricavano diventassero inconsapevolmente veicoli di infezione.

Il JavaScript iniettato esegue una fase di profiling, raccogliendo attributi del browser e del dispositivo come versione del sistema operativo, modello e altre informazioni utili a scegliere la catena di exploit più adatta. Dopo questa ricognizione, l’infrastruttura di consegna reindirizza la vittima verso una catena di exploit specifica per piattaforma, basata su vulnerabilità già note ma non ancora corrette su molti dispositivi. L’obiettivo finale è distribuire payload capaci di rubare cookie del browser e, in alcuni casi, dati molto più ampi come password Wi‑Fi o informazioni complete del dispositivo mobile.

Vettori di infezione osservati

• Compromissione di siti legittimi con inserimento di JavaScript dannoso.
• Creazione di siti lookalike che imitano portali noti in diverse aree geografiche.
• Attacco alla supply chain di Plerdy, con modifica dello script main.js ospitato su un dominio del servizio.

Alcuni dei siti coinvolti sembrano coerenti con un targeting selettivo, per esempio contesti militari o legati alla guerra tra Russia e Ucraina.

Catene di exploit e payload

Su iOS la catena porta a un framework di exploit come DarkSword, in grado di estrarre cookie e anche dati completi del dispositivo a seconda della versione di iOS colpita. Su Android, invece, la catena può arrivare a un malware chiamato AndroSnitch, progettato per esfiltrare dati di Chrome e password Wi‑Fi senza persistenza. Sono state indicate catene che includono esecuzione di codice da remoto, fuga dalla sandbox ed elevazione di privilegi, con invio dei dati rubati verso un endpoint di telemetria controllato dagli attaccanti.

Misure di mitigazione

• Aggiornare tempestivamente iOS, Android e Chrome.
• Limitare l’uso di script di terze parti non indispensabili.
• Adottare controlli di integrità come Subresource Integrity (SRI) per le risorse esterne.
• Monitorare anomalie nei tag di analytics e nei reindirizzamenti lato client.