Les utilisateurs mobiles qui visitent des sites web compromis ou des portails imités ont été exposés à des attaques capables de voler des données sans aucune interaction supplémentaire. Dans un rapport daté du 4 novembre, BleepingComputer a décrit les conclusions de Sekoia montrant que les attaquants sélectionnaient des exploits en fonction du logiciel iOS ou Android des visiteurs, ce qui mettait en danger les identifiants de navigation et, sur certains appareils, les messages privés et les photos.
Les attaques exploitaient des vulnérabilités connues, pour lesquelles Apple et Google ont publié des correctifs. Sekoia attribue cette opération, avec un niveau de confiance modéré à élevé, au groupe russe APT29, également appelé Midnight Blizzard.
Les sites web sont devenus des vecteurs de diffusion
La campagne a touché les visiteurs via des sites à forte audience aux États-Unis, en Ukraine, en République tchèque et en Bulgarie. Elle combinait une approche de type watering hole, qui consiste à compromettre les sites que les cibles visées sont susceptibles de fréquenter, et des domaines se faisant passer pour des destinations légitimes.
Parmi les organisations compromises figuraient un producteur de gaz ukrainien, une association professionnelle américaine de l'industrie chimique et un site web bulgare lié au secteur militaire. Les sites imités reprenaient l'identité du portail officiel d'America250 et celle de l'hôtel Raffles London at The OWO. Ils faisaient transiter le contenu des sites authentiques, plaçant l'attaquant entre le visiteur et la destination légitime, dans une configuration adversary-in-the-middle.
Une autre voie a élargi l'exposition potentielle : Sekoia a découvert que les attaquants avaient infiltré Plerdy, le fournisseur ukrainien d'analyse web, et modifié son outil de suivi SEO, un composant utilisé pour le suivi de l'optimisation pour les moteurs de recherche. Des milliers de sites, majoritairement ukrainiens, ont chargé ce traceur entre le 27 août et le 3 septembre.
Chaque voie commençait par le même code de profilage JavaScript. Ce code vérifiait l'appareil et la version du navigateur du visiteur, puis un serveur contrôlé par l'attaquant fournissait la séquence d'exploits correspondante. Il s'agissait d'attaques n-day, c'est-à-dire exploitant des failles divulguées précédemment ; l'ouverture de la page suffisait à déclencher la chaîne d'exploitation, sans autre action de l'utilisateur.
Ce que chaque attaque pouvait collecter
L'analyse de Sekoia a identifié différentes combinaisons de vulnérabilités et de données ciblées :
- Sur iOS 16.7, la chaîne utilisait CVE-2025-43529 avec CVE-2024-27834 pour cibler les cookies de Safari, c'est-à-dire les données que les sites web stockent dans le navigateur.
- Sur iOS 18.5, la chaîne combinait CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 et CVE-2025-43520. Sa charge utile récupérait les bases de données de WhatsApp et Telegram, les identifiants stockés dans le système Keychain d'Apple, des informations de localisation et des photos.
- Pour Chrome sur Android, versions 139 à 145 à l'exception de la 143, les attaquants utilisaient CVE-2026-3910 et CVE-2025-27038. La charge utile AndroSnitch collectait les cookies de Chrome, les informations de connexion, l'historique de navigation et les identifiants Wi-Fi enregistrés.
Les chercheurs ont également repéré des références à quatre vulnérabilités supplémentaires, présentes dans du code inaccessible ou dans des voies d'exploitation alternatives ; ces failles ne figuraient pas dans les chaînes qu'ils ont analysées.
Une vulnérabilité, CVE-2025-43529, a aussi été associée au kit d'exploitation DarkSword. Ce kit a été documenté pour la première fois en mars et a été utilisé par plusieurs groupes de menaces dans des attaques remontant à novembre 2025 au moins.
Sekoia fonde son attribution à APT29 sur une infrastructure partagée avec une activité antérieure, sur des similitudes avec les précédentes opérations de type watering hole du groupe, ainsi que sur un site compromis qu'un partenaire avait relié à une campagne APT29 en 2025. BleepingComputer a également noté que le groupe avait récemment été lié à des attaques visant les réseaux Wi-Fi d'hôtels.
Redémarrer interrompt l'activité ; les mises à jour corrigent les failles
Sekoia a constaté qu'aucune des charges utiles de la campagne n'assurait la persistance, c'est-à-dire la capacité de survivre à un redémarrage de l'appareil. Un redémarrage interrompt donc l'activité malveillante, mais une nouvelle visite sur un site compromis peut de nouveau exposer l'appareil.
BleepingComputer rapporte qu'Apple et Google ont corrigé toutes les vulnérabilités utilisées dans la campagne, y compris par des mises à jour pour d'anciennes versions d'iOS. Les utilisateurs doivent installer les dernières mises à jour de sécurité disponibles pour leurs appareils.
