APT29 dilaporkan menjalankan kampanye yang memanfaatkan celah Google Chrome dan driver Qualcomm Adreno GPU pada perangkat Android. Rantai serangan itu dapat berujung pada pencurian cookie, informasi login tersimpan, riwayat penelusuran, serta kata sandi Wi-Fi.
Firma keamanan siber Sekoia menyebut operasi tersebut menargetkan pengguna di Amerika Serikat dan Eropa, terutama Ukraina. Kelompok ini secara luas dikaitkan dengan Dinas Intelijen Luar Negeri Rusia atau SVR.
Data Sesi Akun Ikut Berisiko
Sesudah perangkat dikompromikan, pelaku memasang malware yang diidentifikasi Sekoia sebagai AndroSnitch. Malware itu dilaporkan mengambil data Chrome dan berkas konfigurasi Wi-Fi yang dapat menyimpan kata sandi jaringan.
Cookie browser yang dicuri dapat memberi jalan bagi pelaku untuk mengakses akun yang masih dalam keadaan login. Dampaknya tidak hanya terbatas pada data lokal di ponsel, karena sesi aktif dapat membuka akses ke layanan yang digunakan korban.
Dua Celah dalam Rantai Eksploit
Tahap pertama serangan memakai CVE-2026-3910 untuk menjalankan kode berbahaya melalui browser Google Chrome. Setelah itu, CVE-2025-27038 pada driver Qualcomm Adreno GPU digunakan untuk keluar dari sandbox Chrome.
Keluar dari sandbox memberi pelaku akses yang lebih luas ke perangkat terdampak. Karena GPU Adreno dipakai pada ponsel dengan chipset Snapdragon, perangkat dengan konfigurasi tersebut berpotensi menjadi sasaran.
Sekoia melaporkan eksploit Android ini menyasar Chrome versi 139 hingga 145. Namun, Chrome versi 143 tidak termasuk dalam rentang target yang disebutkan.
Pengunjung Situs Sah Menjadi Sasaran
Investigasi Sekoia bermula dari penemuan JavaScript berbahaya di situs sebuah perusahaan produksi gas Ukraina. Kode tersebut mengalihkan pengunjung menuju server pengiriman eksploit yang dikendalikan pelaku.
Pelaku tidak hanya mengandalkan situs yang sudah disusupi, tetapi juga membuat halaman tiruan. Sekoia menemukan contoh situs palsu yang menyerupai America250 dan situs hotel mewah di London.
Layanan analitik web Ukraina yang digunakan oleh ribuan situs juga dilaporkan disusupi antara 27 Agustus hingga 3 September. Kondisi ini memberi pelaku kesempatan menyebarkan konten berbahaya lewat halaman yang sebelumnya tampak tepercaya.
Samsung Galaxy S25 Ultra Dikecualikan
Sekoia menemukan adanya mekanisme yang menghentikan eksekusi eksploit jika perangkat terdeteksi sebagai Samsung Galaxy S25 Ultra. Laporan itu tidak memerinci model lain maupun versi Android lain yang mungkin dikecualikan.
Kampanye tersebut juga disebut menyasar iPhone melalui rantai eksploit terpisah. Salah satu rantai dilaporkan mencuri cookie browser pada iOS 16 hingga iOS 17.4.
Rantai lain yang memakai eksploit DarkSword dilaporkan mampu mengakses pesan, foto, dan kata sandi pada iOS 18.5. Pengguna disarankan terus memperbarui browser, sistem operasi, dan perangkat lunak untuk menurunkan risiko eksploitasi celah keamanan.
