Kelompok ancaman siber yang terafiliasi dengan Rusia dan dikenal dengan sebutan APT29 dilaporkan mendalangi operasi serangan rekayasa sosial bertipe watering hole berskala besar. Operasi siber ini secara agresif menyasar para pengguna perangkat seluler berbasis iOS dan Android. Dalam melancarkan aksinya, gerombolan penyerang memanfaatkan perpaduan dari sejumlah situs web yang telah disusupi, penggunaan domain tiruan yang sengaja didaftarkan, serta serangan rantai pasok (supply chain attack) yang secara langsung melibatkan penyedia layanan analitik optimasi mesin pencari asal Ukraina bernama Plerdy SEO Tracker.
"The injected JavaScript code collects browser and device attributes," papar peneliti keamanan Sekoia, Amaury-Jacques Garçon dan Félix Aime, dalam laporan teknis yang dibagikan secara eksklusif kepada The Hacker News. "Then, the delivery infrastructure delivers a platform-specific N-day exploit chain targeting either iOS or Android." Penjelasan teknis tersebut menegaskan alur kerja dari muatan jahat saat mengumpulkan parameter perangkat target sebelum melepas rentetan eksploitasi berbahaya yang sesuai.
Tujuan puncak dari rentetan serangan ofensif ini adalah mendistribusikan rangkaian muatan berbahaya yang memiliki kemampuan merampas berkas data kuki peramban web (browser cookies), dan dalam skenario tertentu bahkan mampu mencuri kata sandi jaringan Wi-Fi lokal serta mengambil alih seluruh konten data perangkat bergerak korban secara komprehensif. Serangkaian aktivitas berbahaya berskala internasional ini dinamai Poisoned Source dan berhasil diungkap ke publik oleh para analis dari perusahaan keamanan siber asal Prancis tersebut pada pertengahan Oktober 2026.
Karakteristik paling menonjol dari gelombang kampanye peretasan mutakhir ini bertumpu pada pengerahan tiga vektor infeksi primer yang berbeda dan dirancang secara matang guna menjamin efektivitas penetrasi kode jahat ke sistem korban –
Sebagian dari laman web resmi yang diketahui telah disusupi mencakup sebuah asosiasi perdagangan industri papan atas yang menaungi kepentingan berbagai korporasi besar Amerika Serikat di sektor industri bahan kimia, situs resmi milik entitas partai politik sayap kanan di Eropa, hingga portal informasi terkait instalasi militer Bulgaria. Indikasi kuat memperlihatkan bahwa kampanye penyusupan model watering hole ini dirancang secara khusus untuk membidik target profil individu tertentu ketimbang sekadar aksi penyerangan massal yang bersifat acak.
"It remains unclear whether the attackers intended to target visitors to specific websites or sought to compromise as many unpatched mobile devices as possible, indiscriminately exfiltrating data before selectively identifying and exploiting information of interest," tulis tim analis dari Sekoia. Pengamatan ini memperlihatkan adanya dilema strategis mengenai intensi murni sang penyerang di ranah operasi lapangan.
"However, several of these sites are likely to attract high-value or strategically important visitors in the context of the Russia-Ukraine war. This supply chain attack spread through high-value targets, such as army, special forces, and military equipment (ballistic, UAV) websites." Dengan demikian, posisi strategis situs-situs yang diretas memiliki bobot geopolitik yang luar biasa krusial dalam konteks perang Rusia-Ukraina yang sedang berkecamuk.
Apa pun pintu masuk atau metode transmisi awal yang digunakan oleh pelaku, seluruh jalur penyerangan pada akhirnya bermuara pada satu muatan akhir yang serupa: sebuah skrip pemuat JavaScript khusus yang bekerja aktif memprofilkan kondisi perangkat target serta tipe peramban web pengguna, untuk kemudian menyuplai perangkat lunak perusak (malware) tingkat lanjutan yang dirancang secara tepat. Bagi pengguna platform iOS, proses identifikasi ini langsung memicu penyebaran perangkat eksploitasi canggih bernama DarkSword guna memanen riwayat kuki peramban serta menyedot seluruh arsip data internal perangkat target secara menyeluruh.
Sementara pada ekosistem Android, muatan berbahaya yang disematkan dirancang dengan spesifikasi untuk mengekstraksi seluruh riwayat dan data sensitif peramban Google Chrome sekaligus mencuri kredensial kata sandi Wi-Fi tanpa perlu repot menanamkan mekanisme presistensi permanen di dalam sistem operasi target. Setidaknya terdapat tidak kurang dari tiga varian eksploitasi terpisah yang berhasil diidentifikasi beroperasi di lingkungan sistem target tersebut –
Dalam ketiga skenario serangan tersebut, seluruh bundel informasi sensitif yang berhasil digondol secara diam-diam akan dikirimkan langsung menuju titik akhir (endpoint) server komando "ad.starx-net[.]com:8881/telemetry/v12". Rantai serangan untuk platform Android ini juga menyertakan prosedur pemeriksaan khusus untuk mengenali apakah gawai yang tengah dibidik merupakan tipe flagship Samsung Galaxy S25 Ultra melalui pemindaian nomor model perangkat kerasnya (yaitu SM-S938B). Apabila model perangkat target terbukti cocok dengan tanda identifikasi tersebut, seluruh rangkaian proses eksploitasi seketika dibatalkan dan langsung dihentikan oleh sistem.
Perangkat lunak jahat AndroSnitch mendapatkan nama sandinya dari kemiripan struktural yang sangat erat dengan ANDROSNATCH, yakni sebuah muatan jahat pencuri kuki peramban Chrome yang sempat didokumentasikan secara rinci oleh tim keamanan Google pada bulan Agustus 2024 silam. Insiden lampau tersebut dikaitkan langsung dengan aksi operasi watering hole yang diduga kuat didalangi oleh kelompok APT29 saat menyerang pengguna Android yang mengakses situs resmi milik instansi pemerintah Mongolia dengan mengeksploitasi celah kerentanan peramban Chrome terindeks CVE-2024-5274 dan CVE-2024-4671.
"This operation also confirms the continued reuse of CSV [Commercial Surveillance Vendors] mobile exploit frameworks, such as DarkSword, by state-sponsored intrusion sets," ungkap pihak Sekoia dalam analisis komprehensifnya. "The adoption of packaged N-day exploit chains lowers the cost and technical threshold required to conduct advanced mobile exploitation." Fakta pemanfaatan kembali kerangka kerja eksploitasi komersial semacam ini kian memperjelas bagaimana aktor tingkat negara berupaya memangkas beban biaya riset teknis.
Evolusi Perangkat Eksploitasi Coruna dan DarkSword
Temuan mutakhir ini mencuat ke permukaan hanya beberapa pekan selepas penyedia keamanan iVerify dan tim analis Report URI merilis hasil investigasi mendalam mengenai kemunculan varian P7 dari DarkSword yang disebarkan melalui skema serangan half-click bersandarkan pada infrastruktur jaringan periklanan daring. Dalam satu kasus nyata di lapangan, muatan eksploitasi berbahaya ini dilaporkan menyebar secara terorganisasi melalui media promosi berbayar Instagram yang menyamar dengan mengangkat materi bertema perhelatan Piala Dunia, yang mana iklannya diluncurkan langsung dari alamat jaringan "ad-track[.]live."
Adapun rute penyusupan paralel lainnya merupakan bagian tak terpisahkan dari kampanye kejahatan siber terstruktur yang dijuluki operasi DeadTag. Dalam modus operandi ini, para operator peretas sengaja mengakuisisi deretan nama domain kedaluwarsa yang dulunya digunakan oleh tag analitik web lawas serta jaringan iklan periklanan usang yang ironisnya sampai hari ini masih tertanam aktif dan dimuat secara otomatis oleh ribuan situs web di internet. Inti dari strategi cerdik ini adalah mendistribusikan kode skrip berbahaya JavaScript khusus kepada setiap pengunjung bersenjatakan iPhone agar dapat mengeksekusi perintah sang peretas tanpa menimbulkan kecurigaan.
"It checks who's visiting," jelas analis dari Report URI mengenai cara kerja skrip saringan tersebut. "Search engines, security scanners, automated browsers and anything else that looks like a bot gets nothing." Mekanisme penyaringan ketat ini secara otomatis memastikan bahwa seluruh entitas mesin pemindai keamanan sistemik tidak akan pernah menerima paparan muatan berbahaya.
Skrip pengintai tersebut lantas membangun komunikasi dua arah secara cepat dengan server kendali milik sang peretas, yang kemudian secara cerdas menentukan arah pengalihan destinasi laman akhir bagi setiap korban yang berkunjung. Rute eksploitasi perangkat iPhone yang menunggangi jaringan DeadTag ini secara otomatis mengarahkan korban pada perangkat eksploit Coruna untuk generasi iPhone terdahulu yang mengoperasikan sistem iOS versi 13 sampai 17.2.1, serta mengarahkan perangkat pada muatan DarkSword P7 bagi perangkat iPhone mutakhir bersistem operasi iOS 18.4 hingga 18.7.
"These are not phishing pages or fake app downloads, both kits attack the browser itself," tegas Scott Helme dari Report URI secara terbuka. "Simply opening the page is enough for your device to be compromised. There's nothing to tap, you don't need to click any link, nothing to install and no warning. If the iPhone is running a vulnerable version of iOS, the kit breaks out of the browser and installs spyware on the device." Peringatan tegas ini menyoroti betapa berbahayanya mekanisme serangan tanpa sentuhan yang langsung menjebol inti peramban.
Varian skema penipuan siber lainnya juga menuntun korban menuju rekayasa pengalihan Google palsu, registrasi taruhan daring serta kasino ilegal, iklan promosi pencarian seputar transaksi mobil dan layanan dokter gigi, hingga kuis survei manipulatif yang menjanjikan hadiah fiktif. Tercatat ada lebih dari 660 domain usang yang telah didaftarkan ulang dan kini resmi beroperasi sebagai bagian dari sindikat infrastruktur DeadTag.
Berdasarkan laporan analitis mendalam yang dipublikasikan oleh divisi riset Zimperium zLabs, rangkaian kampanye digital yang mendistribusikan perangkat eksploitasi Coruna maupun DarkSword terus menunjukkan laju adaptasi dan ekspansi yang sangat masif, di mana sebanyak 608 domain tercatat aktif menyebarkan baris kode keluarga Coruna per Oktober 2026.
Meskipun pada fase awalnya Coruna dikembangkan secara eksklusif oleh aktor spionase bentukan negara untuk melancarkan operasi pengintaian bertarget tinggi, peristiwa kebocoran kode pasca pengungkapan perdananya membuat kit berbahaya tersebut kini bebas diakses dan dimanfaatkan oleh berbagai spektrum kelompok ancaman siber lain demi kepentingan melancarkan operasi jahat mereka masing-masing di seluruh penjuru dunia.
Dalam berbagai temuan di lapangan, sejumlah situs pancingan jebakan bahkan kedapatan secara terang-terangan memerintahkan para pengguna untuk segera menutup peramban bawaan aplikasi (in-app browser) atau peramban alternatif iOS mereka, lalu menginstruksikan mereka menyalin tautan ke Safari guna memicu rangkaian rantai eksploitasi secara sempurna sesuai dengan versi sistem operasi target.
"Targets running iOS 17.2.1 or earlier receive the legacy Coruna framework (exhibiting byte-identical JavaScript payloads across multiple recovered configurations)," jelas peneliti keamanan siber Santiago Rodriguez dalam pemaparannya. "Conversely, devices running later iOS builds receive a DarkSword-derived execution chain." Laporan tersebut mengonfirmasi segmentasi pembagian eksploitasi yang sangat terspesialisasi.
"The analyzed distribution footprint spans dating portals, AI-companion platforms, cryptocurrency promotions, media streaming services, and – in several instances – compromised legitimate sites serving the kit via hidden iframes." Jejak penyebaran yang sangat beraneka ragam ini menegaskan besarnya jangkauan ancaman bagi para pengguna seluler di era modern.
