Peneliti Sekoia mengungkap kampanye bernama Poisoned Source yang menurut mereka terkait dengan APT29, kelompok yang dikaitkan dengan dinas intelijen luar negeri Rusia (SVR) dan juga dikenal sebagai Midnight Blizzard atau Cozy Bear. Penyerang membajak skrip pelacak milik layanan analitik web asal Ukraina, Plerdy, lalu memakainya untuk mengirim eksploit ke iPhone dan ponsel Android. Sekoia menilai keterkaitan dengan APT29 dengan keyakinan sedang sampai tinggi.
Cara serangan berjalan
Skrip Plerdy terpasang di ribuan situs, sebagian besar situs Ukraina, termasuk situs milik militer dan produsen peralatan militer. Menurut laporan, penyerang menyisipkan kode berbahaya di skrip itu selama sekitar seminggu, dari 27 Agustus sampai 3 September 2026. Sekoia menemukan aktivitasnya pada pertengahan Oktober.
Selain lewat Plerdy, penyerang menyuntikkan kode langsung ke situs sah, antara lain situs asosiasi industri kimia di Amerika Serikat dan situs terkait militer di Bulgaria. Mereka juga membuat situs tiruan, misalnya klon situs America250. Tujuan utamanya mencuri data dari perangkat pengunjung, mulai dari cookie peramban hingga, pada rantai tertentu di iOS, data perangkat yang lebih lengkap.
Rantai eksploit yang dilaporkan menyasar tiga kelompok perangkat. Untuk iOS 16.7, dipakai CVE-2025-43529 dan CVE-2024-27834. Untuk iOS 18.5, dipakai rantai kit DarkSword yang memuat CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, dan CVE-2025-43520. Untuk Android dengan Chrome 139 sampai 145 (kecuali 143), dipakai CVE-2026-3910 dan CVE-2025-27038 di driver grafis Adreno.
Siapa yang berisiko
Sekoia menyatakan semua celah dalam ketiga rantai itu sudah diperbaiki sebelum kampanye dimulai, sehingga korban adalah perangkat yang belum diperbarui. Laporan yang kami baca tidak mencantumkan nomor versi iOS atau Chrome yang menutup tiap celah. Belum jelas apakah penyerang menargetkan situs tertentu atau menyaring perangkat yang belum ditambal secara acak. Sekoia menilai, dengan keyakinan rendah, bahwa sebagian situs dipakai untuk mengincar individu tertentu.
Sebagian besar sasaran berada di Ukraina, Amerika Serikat, Republik Ceko, dan Bulgaria, jadi risiko langsung bagi pembaca Indonesia tampak kecil. Namun pola serangannya relevan bagi siapa pun yang memasang skrip pihak ketiga di situsnya atau memakai ponsel yang lama tidak diperbarui.
Langkah yang perlu diambil
Perbarui iOS dan Android ke rilis terbaru dari vendor perangkat. Sekoia menyebut pengguna dengan sistem operasi mutakhir aman dari serangan ini. Perbarui juga Chrome; kami sudah membahas rilis Chrome 157 yang menutup 213 celah. Pengelola situs sebaiknya meninjau skrip pihak ketiga yang dimuat di halaman mereka, mencabut yang tidak perlu, dan memeriksa apakah ada skrip yang dimuat dari Plerdy. Daftar domain indikator serangan ada di laporan Sekoia dan liputan sumber di bawah.
Sumber: The Hacker News dan Help Net Security. Gambar: The Hacker News.