ロシア関連アクター、NデイエクスプロイトでiOS・Androidユーザーを標的に

佐々山 Tacos

2026.11.05

[開く][閉じる]

ロシア関連アクター、NデイエクスプロイトでiOS・Androidユーザーを標的に
- 3つの感染経路
- Nデイエクスプロイトチェーン

ロシア関連アクター、NデイエクスプロイトでiOS・Androidユーザーを標的に

Help Net Security – November 4, 2026

侵害されたWebサイトや偽ドメイン、サプライチェーン攻撃を通じてiOSおよびAndroidユーザーを標的とする大規模な水飲み場型攻撃キャンペーンについて、Sekoiaが報告。中程度〜高い確度でロシア関連アクターAPT29に関連づけられたこのキャンペーンでは、CookieやWi-Fiパスワード、デバイスデータなどを窃取するために複数のNデイエクスプロイトが使われているという。

APT29はMidnight BlizzardやCozy Bearとしても知られるグループで、ロシアの対外情報庁（SVR）との関連が広く指摘されている。最近では、ホテルのWi-Fiを標的とした攻撃に同グループが関与していたとの評価をマイクロソフトが公表していた。

SekoiaのTDR（Threat Detection & Research）チームは2026年10月中旬、米国・ウクライナ・チェコ・ブルガリアにおける複数の有力Webサイトの侵害または複製を伴う大規模な水飲み場型攻撃キャンペーンを発見。これと並行して、ウクライナのWebアナリティクスサービス「Plerdy」のサプライチェーン侵害により数百のWebサイトが影響を受け、1週間にわたってサイト訪問者がエクスプロイトキットの標的になっていたものとみられることがわかっている。

3つの感染経路

このキャンペーンでは以下3通りの感染経路が使われるものの、いずれも配布されるペイロードは同一だという。

①正規WebサイトへのJavaScriptの直接注入
②正規サイトとの通信を中継して悪意あるJavaScriptを挿入するAiTM型の手法
③ウクライナのWebアナリティクスサービスPlerdyのサプライチェーン侵害

①の経路では、ウクライナのガス生産会社、米国の化学産業団体、ヨーロッパの極右政党などの正規サイトが侵害され、サイトのメインテンプレート内に悪意あるJavaScriptが埋め込まれていた。このほか、ブルガリアの軍事関連サイトをはじめとするいくつかのサイトでは、テンプレートを改ざんするのではなく、既存の正規JavaScriptファイルに悪意あるコードを追加する手法も使われていたという。

②の経路は、正規サイトに似せた偽ドメインを使うもの。これらの偽サイトは、訪問者と正規Webサイトの間に介在する一種のAiTM型リバースプロキシとして機能し、HTMLソースコードをリアルタイムで改ざんして、Webページの末尾に悪意あるJavaScriptを読み込ませるコードを挿入していたとされる。Sekoiaは関連する模倣ドメインを2件特定している。

america250[.]holiday：米国独立250周年を記念する取り組み「America250」の公式サイト（america250.org）のリバースプロキシとして機能。
theowo[.]club：英国国防省や首相官邸（ダウニング街10番地）の近くに位置する高級ホテル「Raffles London at The OWO」のWebサイトのリバースプロキシとして機能。Sekoiaの研究者らは、同ホテルの偽サイトが外交使節団や著名な宿泊客を標的とする目的で用意された可能性があるとみている。研究者らはまた、ウクライナのゼレンスキー大統領が10月14日の訪英時に同ホテルに宿泊したとする公開情報に基づく報道にも言及した。

③の経路は、Plerdyのトラッキング用スクリプトを侵害するもの。このSEOトラッカーは数千のサイトにロードされており、その大半はウクライナのサイトとされる。これには、ウクライナ軍や特殊部隊、軍装備品メーカーなどが運営するサイトも含まれるという。2026年8月27日から9月3日にかけて正規のトラッキング用ファイル「hxxps://a.plerdy[.]com/public/js/click/main.js」に悪意あるコードが注入されたことで、サイト訪問者は正規のPlerdyスクリプトとともに攻撃者のフィンガープリンティング用スクリプトをロードすることとなった。

Nデイエクスプロイトチェーン

上記の経路で配布されるペイロードは、サイト訪問者のブラウザおよびデバイスをプロファイリングする外部のスクリプトをロード。その後、ユーザーの操作を介さずに、モバイルおよびブラウザのバージョンに応じて各プラットフォームに特化したNデイエクスプロイトチェーンを配布するという。これらのエクスプロイトはCookieやメッセージングアプリのデータベース、認証情報を盗み取るためのもので、以下の脆弱性を悪用するという。

CVE-2025-43529、CVE-2024-27834：ペイロードはiOS 16.7を標的にし、Safariに保存されたCookieを窃取する
CVE-2025-43529、CVE-2026-20700、CVE-2025-14174、CVE-2025-43510、CVE-2025-43520：エクスプロイトキット「DarkSword」を土台とするチェーン。ペイロードはiOS 18.5を標的にし、WhatsAppおよびTelegramデータベース、キーチェーンの認証情報、位置情報データ、写真を収集する
CVE-2026-3910、CVE-2025-27038：ペイロードはAndroid 139〜145（143除く）向けのChromeを標的とし、AndroSnitchを使ってChromeのCookie、ログインデータ、ブラウザ履歴、保存されたWi-Fi認証情報を収集する

3つのチェーンのいずれの脆弱性も、キャンペーンが始まるよりも前に修正済み。Sekoiaは、最新のOSを使用するユーザーはこれらの攻撃から保護されている点を強調した。

Sekoiaは今回のキャンペーンにより、DarkSwordのような商用サーベイランスベンダー（CSV）発のエクスプロイトフレームワークが国家支援型のアクターにより「引き続き使い回されている」ことが裏付けられたと指摘。また、パッケージ型のNデイエクスプロイトチェーンを使用することで、高度なモバイル悪用攻撃に求められるコストや技術的閾値が下がっているとも述べた。その上で同社は、「長期的には、国家が支援する侵入攻撃において、CSVのエクスプロイトを悪用する手法の拡散や再利用が今後さらに頻繁になる可能性が高いと評価している」と記している。

SekoiaはCERT-UAをはじめとする各国のCERTと連携し、被害者の特定および水飲み場型攻撃インフラの妨害に向けて動いているとのこと。