Peringatan Ancaman

Ringkasan

Kelompok ancaman yang diduga terkait Rusia, APT29, teridentifikasi berada di balik kampanye watering hole berskala besar bersandi "Poisoned Source". Kampanye ini menargetkan pengguna iOS dan Android lewat tiga jalur infeksi sekaligus, salah satunya adalah kompromi rantai pasok (supply chain) terhadap layanan web analytics asal Ukraina, Plerdy SEO Tracker. Aktivitas ini ditemukan oleh Sekoia pada pertengahan Oktober 2026.

Jalur Infeksi

APT29 menggunakan tiga vektor serangan paralel:

1. Kompromi situs legitimate — menyisipkan JavaScript berbahaya langsung ke situs sah yang sudah diretas.
2. Situs tiruan (lookalike) — meniru situs populer di AS (america250[.]holiday), Ukraina, Ceko, dan Bulgaria.
3. Kompromi rantai pasok Plerdy — kode jahat disisipkan ke a.plerdy[.]com/public/js/click/main.js antara 27 Agustus–3 September 2026.

Ketiganya bermuara ke payload yang sama: JavaScript loader yang melakukan fingerprinting perangkat/browser pengunjung, lalu mengirim exploit N-day sesuai platform (iOS atau Android).

Situs yang terdampak mencakup asosiasi dagang industri kimia AS, partai politik sayap kanan Eropa, dan situs terkait militer Bulgaria — mengindikasikan target bernilai tinggi dalam konteks perang Rusia-Ukraina (militer, pasukan khusus, alutsista/UAV).

Payload dan Exploit

• Class A (Target iOS 16.7)
  • CVE: CVE-2025-43529, CVE-2024-27834
  • Dampak: Pengiriman malware JavaScript untuk pencurian cookie browser.
• Class B (Target iOS 18.5)
  • CVE: CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520 (rantai exploit DarkSword)
  • Dampak: Eksfiltrasi data perangkat secara penuh, meliputi:
    • Pesan SMS dan iMessage
    • Basis data Apple Mail (Envelope Index dan Protected Index SQLite) serta voicemail
    • Basis data WhatsApp dan Telegram
    • Kredensial iCloud Keychain dan kata sandi Wi-Fi
    • Kontak dan riwayat panggilan
    • Riwayat penelusuran dan cookie Safari
    • Foto
    • Data Apple Health, Kalender, Catatan (Notes), dan iCloud Drive.
• Class C (Target Android — Google Chrome versi 139–145, kecuali versi 143)
  • CVE: CVE-2026-3910, CVE-2025-27038
  • Dampak: Eksekusi kode jarak jauh (Remote Code Execution / RCE), lolos dari sandbox (sandbox escape), eskalasi hak akses (privilege escalation), serta pengiriman payload AndroSnitch untuk mencuri data Chrome dan kata sandi Wi-Fi.

Catatan teknis tambahan:

• Seluruh data curian dikirim ke endpoint ad.starx-net[.]com:8881/telemetry/v12.
• Rantai serangan Android memiliki pengecualian: jika model perangkat terdeteksi Samsung Galaxy S25 Ultra (SM-S938B), eksploitasi dihentikan otomatis.
• AndroSnitch mirip dengan ANDROSNATCH yang didokumentasikan Google pada Agustus 2024, terkait kampanye APT29 sebelumnya terhadap situs pemerintah Mongolia (CVE-2024-5274, CVE-2024-4671).
• Semua exploit bersifat N-day (kerentanan lama yang sudah dirilis patch-nya), bukan zero-day — perangkat yang ter-update penuh relatif aman.

Kampanye Terkait (Konteks Lebih Luas)

Laporan menyebut dua perkembangan paralel dari ekosistem mobile exploit kit yang sama:

• DeadTag: kampanye kriminal yang membeli domain kedaluwarsa bekas tag analytics/iklan lama yang masih dimuat ribuan situs, lalu menyajikan JavaScript jahat ke pengunjung iPhone. Mengarah ke exploit kit Coruna (iOS 13–17.2.1) atau DarkSword P7 (iOS 18.4–18.7). Lebih dari 660 domain kedaluwarsa teridentifikasi terlibat.
• Exploit Coruna, awalnya dikembangkan aktor negara untuk operasi sangat tertarget, kini bocor dan dipakai luas oleh berbagai threat actor (608 domain aktif per Oktober 2026 menurut Zimperium zLabs).
• Serangan ini bersifat zero-click/half-click — cukup membuka halaman di Safari (bukan in-app browser) untuk memicu eksploitasi, tanpa perlu klik/instal apa pun.

Rekomendasi Mitigasi

1. Update perangkat segera — pastikan iOS dan Chrome (Android) pada versi terbaru untuk menutup seluruh CVE N-day di atas (CVE-2025-43529, CVE-2024-27834, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520, CVE-2026-3910, CVE-2025-27038, CVE-2024-5274, CVE-2024-4671).
2. Blokir IOC jaringan berikut di firewall/proxy/DNS sinkhole:
   • ad.starx-net[.]com:8881
   • a.plerdy[.]com/public/js/click/main.js (khusus versi yang disisipi antara 27 Agu–3 Sep 2026, verifikasi hash/versi script sebelum trust)
   • america250[.]holiday
   • ad-track[.]live
3. Hindari membuka tautan tak dikenal di in-app browser; gunakan browser utama (Safari/Chrome) yang sudah ter-update, dan tetap waspada karena exploit ini zero-click.
4. Audit skrip pihak ketiga (web analytics, tracking tag) pada situs organisasi — verifikasi integritas file JS via Subresource Integrity (SRI) atau checksum berkala.
5. Pantau log perangkat mobile milik personel strategis (militer, pertahanan, afiliasi politik) untuk indikasi eksfiltrasi data tidak wajar (koneksi ke endpoint di atas).
6. Terapkan threat hunting terhadap domain kedaluwarsa yang dipakai ulang (pola DeadTag) bila organisasi memiliki riwayat pemasangan tag analytics lama.

Referensi

• The Hacker News: https://thehackernews.com/2026/11/apt29-linked-hackers-hijack-web.html
• Laporan teknis Sekoia (dirujuk dalam artikel The Hacker News di atas)
• Google TAG (Agustus 2024) terkait ANDROSNATCH/APT29 vs situs pemerintah Mongolia
• Zimperium zLabs — analisis evolusi Coruna/DarkSword (Oktober 2026)