Aanvallers maken gebruik van bekende beveiligingslekken om cookies, wifi-wachtwoorden en 'full device data' van kwetsbare iPhones en Androidtelefoons te stelen. Daarbij zetten de aanvallers gehackte websites en malafide domeinen in om telefoons zonder enige interactie van gebruikers te infecteren. Dat meldt cybersecuritybedrijf Sekoia in een analyse.

Bij de aanvallen weten de aanvallers legitieme websites te hacken en te voorzien van malafide code. Ook werden verschillende domeinnamen geregistreerd die leken op die van 'high-profile' websites in de Verenigde Staten, Oekraïne, Tsjechische republiek en Bulgarije. Verder wisten de aanvallers een Oekraïense analytics-service te compromitteren, waardoor malafide code op honderden legitieme websites terechtkwam die van de dienst gebruikmaken.

De malafide code van de aanvallers maakt misbruik van bekende beveiligingslekken om code op kwetsbare iPhones en Androidtelefoons uit te voeren. Er wordt gebruikgemaakt van kwetsbaarheden in oudere iOS-versies (CVE-2025-43529, CVE-2024-27834, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 en CVE-2025-43520), alsmede kwetsbaarheden in de Androidversie van Google Chrome (CVE-2026-3910 en CVE-2025-27038).

De aanvallers hebben het specifiek voorzien op iOS 16.7 en 18.5, aldus de onderzoekers. In het geval van Android voor Chrome gaat het om versies 139 tot en met 145, waarbij versie 143 specifiek is uitgezonderd. Waarom dit zo is kunnen de onderzoekers niet zeggen. De uiteindelijke code van de aanvallers steelt browser-cookies en in sommige gevallen ook wifi-wachtwoorden en "full device data". Via de gestolen data kunnen de aanvallers toegang tot webdiensten krijgen, zoals webmail-accounts.

Volgens de onderzoekers laten de aanvallen het belang zien van tijdig patchen. Gebruikers van wie de telefoons up-to-date zijn lopen geen risico bij deze specifieke aanvallen. Voor alle gebruikte kwetsbaarheden zijn namelijk updates beschikbaar, die al voor het begin van de aanvalscampagne werden aangeboden.