وفقًا لمصادر متعددة، فإن هجومًا واسع النطاق على مواقع المياه يستهدف مستخدمي iOS وAndroid. تُنسب الحملة إلى APT29، المعروف أيضًا باسم Midnight Blizzard، بثقة متوسطة إلى عالية.
قام المهاجمون باختراق مواقع ويب شرعية، بما في ذلك مواقع منتج غاز أوكراني، وجمعية تجارية لصناعة الكيميائيات في الولايات المتحدة، وموقع مرتبط بالجيش البلغاري. بالإضافة إلى ذلك، تم إنشاء نطاقات مشابهة لتقليد الموقع الرسمي لـ America250 وفندق Raffles London في The OWO.
كما اخترق APT29 خدمة تحليل الويب الأوكرانية، Plerdy، التي وزعت شيفرتهم الخبيثة عبر آلاف المواقع. تضمنت الحمولة الأولية JavaScript الذي قام بتحليل الزوار لتحديد أجهزتهم وإصدارات المتصفح الخاصة بهم.
استغل المهاجمون عدة ثغرات لاستخراج ملفات تعريف الارتباط، وقواعد بيانات تطبيقات المراسلة، وبيانات الاعتماد. تم استهداف ثغرات محددة في iOS 16.7 وiOS 18.5، وكذلك في Chrome لإصدارات Android من 139 إلى 145 (باستثناء 143).
لم تقم أي من الحمولات بتأسيس استمرارية، مما يعني أن إعادة تشغيل الجهاز توقف النشاط الخبيث حتى يعيد المستخدم زيارة موقع مخترق. وقد قامت Apple وGoogle بتحديث جميع الثغرات المستهدفة في هذه الحملة.
بدأت الحملة في منتصف أكتوبر 2026، وتم الإبلاغ عن استغلال الثغرات.