Des pirates liés à APT29 ont piraté un script d’analyse pour cibler des téléphones

Les exploits étaient anciens. La route de livraison était un scénario marketing. Le 4 novembre, la société française de sécurité Sekoia Source Poisonnée détaillée, une campagne visant à détourner l’attention des utilisateurs vers la Russie et le groupe APT29, avec une confiance modérée à élevée. Les attaquants ont piraté un outil d’analyse web ukrainien pendant une semaine et l’ont utilisé pour diffuser des chaînes d’exploits iOS et Android auprès des visiteurs. Le site Hacker News a couvert les résultats, et chaque défaut concerné présente déjà une solution.

Que s'est-il passé ?

‼️ Les pirates APT29 transforment des sites web fiables en pièges pour compromettre les utilisateurs d’iPhone et d’Android

Régions : https://t.co/PkHiWhkHYK

Un groupe d’hameçonnage lié à l’État russe utilise des sites web de confiance pour s’introduire discrètement dans les téléphones. Les chercheurs affirment que APT29, également connu sous le nom de Midnight Blizzard ou Cozy… pic.twitter.com/RlRaPDg9Nr

— Cyber Security News (@The_Cyber_News) 5 novembre 2026

Une attaque par infiltration compromette les sites que ses cibles visitent déjà. Sekoia a repéré cette opération mi-octobre et a identifié trois voies d’attaque. Les auteurs ont injecté des scripts dans des sites légitimes, construit des domaines ressemblant à des sites réputés aux États-Unis, en Ukraine, en République tchèque et en Bulgarie (un domaine ressemblant à america250[.]holiday orienté vers les États-Unis a été utilisé), et a compromis le Plerdy SEO Tracker entre le 27 août et le 3 septembre. Les sites injectés comprenaient une association professionnelle de l’industrie chimique américaine, un parti politique européen et un site militaire bulgare.

Plerdy charge sur des milliers de sites web principalement ukrainiens, et Le magazine Infosecurity rapporte le compromis de la semaine écoulée a révélé des centaines d’entre eux. Sekoia affirme que la route de la chaîne d’approvisionnement a attiré des visiteurs de haut niveau, notamment des personnes parcourant les sites consacrés à l’armée, aux forces spéciales et aux équipements militaires. Il n’a pas été possible de déterminer si les auteurs de l’attaque cherchaient des personnes spécifiques ou autant de téléphones non protégés que possible.

Qu’ont volé ces exploits ?

Un lecteur JavaScript analyse le navigateur et l’appareil de chaque visiteur puis installe une chaîne exploit correspondante. Sekoia a identifié trois de ces exploitants :

• iOS 16.7 : Les CVE-2025-43529 et CVE-2024-27834 volent les cookies du navigateur.
• iOS 18.5 : La chaîne DarkSword, composée de cinq vulnérabilités, collecte toutes les données du dispositif, notamment les messages, les bases de données WhatsApp et Telegram, le Keyring iCloud, les mots de passe Wi-Fi, les photos et l’historique de Safari.
• Android, Chrome 139 à 145 (hors 143) : Les CVE-2026-3910 et CVE-2025-27038 permettent l’exécution de code et l’accès root, puis un fichier appelé AndroSnitch collecte les données de Chrome et les mots de passe Wi-Fi. Il s’arrête si le téléphone est un Samsung Galaxy S25 Ultra.

Les trois chaînes envoient toutes les données volées sur le même serveur, starx-net[.]com, et Sekoia n'a trouvé aucune trace de persistance sur le dispositif.

Pourquoi cela importe-t-il au-delà de APT29 ?

L’analyse de Sekoia soutient l’idée que APT29 aurait obtenu les exploits auprès d’un tiers. Le groupe l’a déjà fait auparavant : Google a documenté un soupçon d’entonnoir APT29 ciblant des sites gouvernementaux mongols en août 2024, et AndroSnitch tire son nom de la charge utile ANDROSNATCH de cette campagne. DarkSword et Coruna sont désormais des kits standard, et Zimperium a recensé 608 domaines hébergeant du code de la famille Coruna en octobre. Sekoia avertit que les chaînes de durée n’ayant que quelques jours réduisent le coût et les compétences nécessaires pour exploiter efficacement les appareils mobiles.

Le stratagème de la livraison n'est pas unique aux acteurs étatiques non plus. Rapport sur la recherche de DeadTag de Report Plus de 660 domaines expirés ont été trouvés derrière des balises d’analyse et de publicité oubliées, encore chargées par des milliers de sites et alimentant les mêmes kits auprès des visiteurs d’iPhone. Deux opérateurs très différents ont découvert la même faiblesse : des scripts chargés par vos pages et qui ne sont pas propriétaires de rien.

Ce schéma se reproduit constamment. Nous avons abordé un cas similaire de détournement de scripts tiers chez Adform dans notre roundup du 27 juillet, et notre roundup du 26 octobre a fait le même point concernant la faille Brotli, un composant qui n’est jamais listé dans votre registre d’actifs. Notre rapport sur les risques informatiques liés à la chaîne d’approvisionnement de 2026 indique que la moyenne des organisations est de 286 fournisseurs. L’espionnage lié à l’État se cache également bien : dans notre rapport sur la Russie et l’Ukraine, les demandes d’accès initiales représentent seulement 3,4% de l’activité enregistrée, et notre analyse de la campagne de détournement de routeurs par APT28 montre qu’un autre acteur russe travaille à travers une infrastructure que personne n’observait.

Considérez l'attribution comme un niveau de confiance, et non comme un verdict. Sekoia évalue APT29 avec un niveau de confiance modéré à élevé, et CISA et Apple n'ont pas attribué cette activité.

Ce que vous devez faire maintenant

1. Patcher les téléphones et les navigateurs. CVE-2024-27834 a été corrigée depuis mai 2024, dans iOS 17.5 et iOS 16.7.8. CISA l'a ajoutée à la liste des vulnérabilités à surveiller. Catégorisation des vulnérabilités exploitées connues le 4 novembre, avec un délai fédéral jusqu’au 18 novembre. Il affiche un score CVSS de seulement 5,5, ce qui montre à quel point un score ne vous indique pas grand-chose quant à l’utilisateur qui utilise une faille. Utilisez votre MDM pour enregistrer les appareils toujours en iOS 16.7, iOS 18.5 ou Chrome 139 à 145, les versions ciblées par ces chaines.
2. Effectuez un audit des scripts chargés par vos sites. Énumérez tous les tags tiers, éliminez ceux qui n’ont plus de sens et vérifiez si l’une de vos pages a chargé Plerdy entre le 27 août et le 3 septembre.
3. Soyez attentif aux ressemblances. Poisoned Source utilise des domaines qui imitent les sites connus. Brand Protection détecte et élimine les domaines malveillants qui se prétendent votre organisation.
4. Exposition géographique au-delà de vos propres domaines. Attack Surface Management étend votre périmètre aux partenaires et aux fournisseurs, et notre analyse Miasma montre comment les signes d’alerte sont apparus sept semaines avant l’exécution d’une attaque contre la chaîne d’approvisionnement.

Le point fort de Sekoia réside dans le fait que des appareils à jour sont à l’abri de ces menaces. La question plus difficile est de savoir laquelle de vos pages offre aux attaquants un moyen d’accéder aux appareils qui ne le sont pas.