APT29 déploie une chaîne d’exploitation mobile sans interaction utilisateur via des sites piégés et un service d’analytics compromis

Un groupe de menace attribué au renseignement extérieur russe, connu sous le nom d’APT29 ou Midnight Blizzard, a orchestré une vaste campagne de type « watering hole » qui a ciblé des utilisateurs d’iPhone et d’Android sans nécessiter la moindre interaction de leur part. L’opération, découverte mi-octobre 2026 par la société française Sekoia et baptisée « Poisoned Source », repose sur trois vecteurs d’infection distincts qui convergent vers une même infrastructure de profilage et de livraison d’exploits.

Le premier vecteur consiste en l’injection directe de code JavaScript malveillant sur des sites web légitimes compromis. Parmi les victimes identifiées figurent une association professionnelle majeure de l’industrie chimique américaine, un parti politique européen d’extrême droite et un site militaire bulgare. Le second vecteur utilise des domaines leurres usurpant des sites à forte notoriété : america250.holiday, imitant le site officiel des célébrations du 250e anniversaire de l’indépendance américaine, et theowo.club, se faisant passer pour le site de l’hôtel Raffles London at The OWO, lieu fréquenté par des délégations diplomatiques de haut niveau. Le troisième vecteur, particulièrement insidieux, repose sur une compromission de la chaîne d’approvisionnement : entre le 27 août et le 3 septembre 2026, les attaquants ont injecté du code malveillant dans le script JavaScript du service d’analytics ukrainien Plerdy SEO Tracker, chargé par des milliers de sites web, principalement en Ukraine.

Dans tous les cas, le script initial collecte les caractéristiques du navigateur et de l’appareil, version du système d’exploitation, numéro de build, User-Agent, et transmet ces informations à un serveur de commande qui renvoie la chaîne d’exploitation adaptée à la plateforme cible. Trois classes d’exploits ont été documentées. La classe A vise les appareils sous iOS 16.7 en enchaînant CVE-2025-43529 et CVE-2024-27834 pour voler les cookies Safari. La classe B cible iOS 18.5 avec une chaîne DarkSword mobilisant cinq vulnérabilités, CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 et CVE-2025-43520, permettant l’exfiltration de l’intégralité des données mobiles : bases de données WhatsApp et Telegram, trousseau iCloud, mots de passe Wi-Fi, historique Safari, photos, données Health, Calendrier, Notes et iCloud Drive. La classe C s’attaque aux terminaux Android équipés de Chrome 139 à 145 (hors version 143) via CVE-2026-3910 et CVE-2025-27038, déployant le malware AndroSnitch pour récupérer les données Chrome et les identifiants Wi-Fi.

L’attribution à APT29 repose sur la convergence de plusieurs indices : le profil des cibles, sites militaires, diplomatiques et industriels sensibles dans le contexte du conflit russo-ukrainien -, des chevauchements d’infrastructure avec une campagne 2025 déjà attribuée au même acteur, et la réutilisation du kit d’exploitation DarkSword, initialement développé par un vendeur de surveillance commercial turc (PARS Defense) et dont le code a fui, le rendant accessible à plusieurs groupes de menace. Aucun des payloads n’installe de persistance : un redémarrage de l’appareil interrompt l’activité malveillante jusqu’à la prochaine visite d’un site compromis.

Apple et Google ont corrigé l’ensemble des failles exploitées, y compris sur d’anciennes versions d’iOS via des mises à jour de sécurité rétroportées. L’application rapide de ces correctifs constitue la seule parade efficace.

Sources : The Hacker News, BleepingComputer, Ars Technica