Sekoia pripisuje APT29 kampaň s kompromitovaným trackerom Plerdy
Výskumníci zo Sekoia zdokumentovali kampaň pripisovanú skupine APT29, ktorá zneužila kompromitovaný analytický skript Plerdy a ďalšie webové vektory na doručovanie už opravených exploitov pre mobilné zariadenia.
APT29 kompromitácia Plerdy je podľa výskumu spoločnosti Sekoia kampaň, ktorá využívala dôveryhodné weby na selektívne doručovanie exploitov pre iOS a Android. Sekoia ju pripisuje skupine APT29 a uvádza, že útočníci využívali kompromitovaný tracker Plerdy a ďalšie webové vektory. Do služby Plerdy SEO Tracker vložili škodlivý JavaScript. Plerdy uviedlo, že neautorizovaný kód odstránilo 3. septembra 2026.
Sekoia zverejnila zistenia 4. novembra. Kompromitácia trackeru podľa výskumníkov prebiehala od 27. augusta do 3. septembra 2026. Riziko sa týkalo návštevníkov webov používajúcich napadnutý skript, najmä ak mali neaktualizované mobilné zariadenie.
APT29 kompromitácia Plerdy a spôsob doručovania
Škodlivý skript najprv zhromažďoval podrobný fingerprint zariadenia a prehliadača. Server následne na základe získaných údajov rozhodoval, či návštevníkovi odošle exploitový reťazec zodpovedajúci jeho prostrediu. Sekoia popísala aj ďalšie distribučné cesty: priame injekcie na legitímnych stránkach a podvrhnuté proxy domény, ktoré napodobňovali weby America250 a Raffles London at The OWO.
Podľa dostupných zistení nešlo o dovtedy neznáme zraniteľnosti. Použité boli takzvané n-day chyby, čiže chyby, pre ktoré už boli dostupné opravy. Sekundárne správy uvádzajú, že Apple a Google vydali záplaty pre zasiahnuté problémy. Kampaň preto nie je informáciou o aktuálne neopravenom exploite, ale o zneužívaní zariadení bez bezpečnostných aktualizácií.
Sekoia pripisuje aktivitu skupine APT29, známej aj ako Midnight Blizzard, so stredne vysokou až vysokou mierou istoty. Ide však o analytické hodnotenie výskumníkov, nie o verejne potvrdené zistenie štátneho orgánu.
Potvrdený zásah dodávateľského reťazca
Plerdy potvrdilo neoprávnený prístup do svojho prostredia prostredníctvom odcudzených administrátorských prihlasovacích údajov. Spoločnosť po incidente resetovala heslá a relácie a prípad nahlásila ukrajinskému tímu CERT-UA.
Firma zároveň uviedla, že nenašla dôkaz o odcudzení dát návštevníkov webov svojich zákazníkov. Toto tvrdenie zatiaľ nebolo nezávisle overené. Zverejnené informácie tiež neuvádzajú počet úspešne kompromitovaných telefónov ani konkrétne obete.
Podstatou prípadu je kompromitácia externého JavaScriptu dodávateľa. Takýto skript je na stránke načítavaný priamo v prehliadači návštevníka, takže jeho zneužitie môže zasiahnuť návštevníkov veľkého počtu inak legitímnych webov. Sekoia hovorí o potenciálnom dosahu na tisíce prevažne ukrajinských stránok.
Čo majú urobiť používatelia a prevádzkovatelia webov
Pre používateľov je známou mitigáciou aktualizácia iOS, Androidu a prehliadača Chrome na podporovanú aktuálnu verziu. Riziko opísané v kampani sa viaže na obdobie jej aktivity a na už opravené zraniteľnosti.
Prevádzkovatelia webov by mali preveriť externé skripty, ktoré ich stránky načítavajú, vrátane analytických a marketingových nástrojov. Pri tomto incidente ide najmä o nasadenia Plerdy SEO Trackeru v období od 27. augusta do 3. septembra 2026.
Ďalšie informácie môže priniesť prípadné nezávislé stanovisko CERT-UA, Apple alebo Googlu. Očakávať možno aj podrobnejší zoznam dotknutých domén, indikátorov kompromitácie a výsledky forenzného vyšetrovania od Sekoia alebo Plerdy. Zatiaľ nie sú verejne doložené úspešné krádeže dát ani rozsah prípadných obetí mimo Ukrajiny.
Zdroje
- Sekoia – Technický výskum kampane, časové okno kompromitácie Plerdy, použitie fingerprintingu, doručovanie exploitov a hodnotenie atribúcie k APT29.
- Plerdy – Potvrdenie neoprávneného prístupu, vloženia neautorizovaného kódu do trackeru, odstránenia 3. septembra a vykonaných nápravných krokov.
- Ars Technica – Nezávislé zhrnutie troch distribučných vektorov, exploitových reťazcov bez ďalšej interakcie a skutočnosti, že išlo o už opravené chyby.
- BleepingComputer – Koroborácia zasiahnutých platforiem, n-day charakteru chýb a dostupnosti opráv od Apple a Google.
Overené a aktualizované: 05. 11. 2026 06:24
