APT29関連とされるスマホ攻撃をSekoiaが分析―Plerdy改ざんと修正済みCVEの悪用

Sekoiaは2026年11月4日、iOS・Android端末を狙う「Poisoned Source」の調査を公表しました。正規サイトの改ざん、正規ページを中継する偽サイト、アクセス解析サービスPlerdyの改ざんが入口です。APT29またはその一部の関与は、同社が中〜高程度の確度で評価しています。

Plerdyの解析スクリプトは8月27日〜9月3日に改ざんされ、利用サイトの訪問者に外部スクリプトを読み込ませていました。OS・ブラウザ情報を送信すると、端末に応じた攻撃コードが返ります。解析サービスの利用サイト数は感染台数ではなく、侵害されたスマホの総数は示されていません。

回収された3系統は、iOSのCookie窃取、DarkSwordによるメッセージ・認証情報などの収集、AndroidのChrome情報・Wi-Fiパスワード窃取です。AndroidではCVE-2026-3910によるChrome内のコード実行から、AdrenoドライバーのCVE-2025-27038で権限を広げます。iOS側の初期実行にはCVE-2025-43529が使われています。

同社によると、解析した脆弱性はいずれも攻撃開始前に修正されており、完全に更新された端末には通用しません。運用担当者はOSだけでなくブラウザと端末メーカーの更新適用も確認する必要があります。Webサイト側の侵入原因や実際の情報窃取件数は未公表で、Sekoiaは各国CERTと被害確認を進めています。