Des hackers liés à la Russie ont ciblé des iPhone et des appareils Android vulnérables via des sites web légitimes, dans le cadre d’une campagne d’espionnage découverte par des chercheurs en sécurité.
Dans un rapport publié le 4 novembre, l’entreprise de cybersécurité Sekoia a attribué l’opération avec un niveau de confiance modéré à élevé à APT29, un groupe de hackers associé au service de renseignement extérieur russe.
L’enquête a également révélé un service d’analyse compromis qui diffusait du code malveillant via des sites web pourtant légitimes, mettant en danger les données mobiles des visiteurs ainsi que leurs sessions en ligne authentifiées.
Un service d’analyse détourné a étendu la portée de la campagne
Les chercheurs ont découvert pour la première fois du JavaScript malveillant sur le site web d’un producteur de gaz ukrainien. L’enquête de Sekoia a également identifié des pages infectées appartenant à une association professionnelle américaine de l’industrie chimique et à un parti politique européen. Sur un site web bulgare lié à l’armée, les hackers avaient altéré une bibliothèque JavaScript existante, autre exemple des tactiques de point d’eau utilisées dans le cadre de campagnes de menace persistante avancée.
Les attaquants ont également enregistré des domaines ressemblants usurpant America250 et Raffles London at The OWO hotel. Les visiteurs voyaient du contenu récupéré depuis les sites web légitimes, mais les adresses frauduleuses inséraient secrètement des scripts malveillants dans les pages.
Une autre compromission de la chaîne d’approvisionnement logicielle a étendu l’opération via Plerdy, un fournisseur ukrainien d’outils d’analyse web. Entre le 27 août et le 3 septembre, les hackers ont modifié son traceur JavaScript, chargé par des milliers de sites web majoritairement ukrainiens, dont certains associés à des organisations militaires et à des équipements de défense. Les visiteurs pouvaient être exposés au script injecté même lorsque les sites web eux-mêmes n’avaient pas été directement piratés.
Les exploits mobiles ciblent les mots de passe enregistrés et les informations privées
Une fois chargé, le script injecté recueillait des informations sur le système d’exploitation et le navigateur du visiteur avant de contacter une infrastructure contrôlée par les attaquants. Les appareils vulnérables pouvaient ensuite recevoir automatiquement des exploits compatibles, sans clic supplémentaire ni téléchargement de logiciel.
En testant différents profils de navigateur contre le serveur de diffusion, les enquêteurs ont récupéré trois chaînes d’exploitation complètes, dotées de capacités distinctes de vol de données.
Ciblage observé | Vulnérabilités | Informations ciblées |
|---|---|---|
| iOS 16.7 | CVE-2025-43529, CVE-2024-27834 | Cookies d’authentification stockés |
| iOS 18.5 | Chaîne DarkSword exploitant cinq vulnérabilités | Messages, identifiants du trousseau, photos et autres données de l’appareil |
| Chrome pour Android 139–145, à l’exception de 143 | CVE-2026-3910, CVE-2025-27038 | Cookies du navigateur, identifiants enregistrés, historique de navigation et mots de passe Wi-Fi |
Une chaîne d’exploitation visant un iPhone intégrait DarkSword, une boîte à outils documentée par Google en mars après que des chercheurs ont observé son utilisation par plusieurs acteurs malveillants. Une enquête antérieure a également établi un lien entre une activité présumée d’APT29 et le vol de cookies mobiles via des sites web compromis du gouvernement mongol.
Toutes les chaînes récupérées reposaient sur des vulnérabilités corrigées avant le début de la campagne, laissant les appareils entièrement à jour protégés contre ces attaques spécifiques. Aucune n’établissait de persistance, mais redémarrer un téléphone n’aurait pas annulé un vol de données déjà effectué. Les enquêteurs n’ont pas pu déterminer combien d’appareils avaient été compromis avec succès.
Le vol de sessions mobiles soulève des inquiétudes pour la sécurité des comptes d’entreprise
Les employés utilisent leurs smartphones pour accéder à leur messagerie professionnelle et à des applications cloud, ce qui peut exposer l’entreprise lorsque des données d’authentification sont volées. Selon les protections d’un service, ledétournement de session pourrait donner aux attaquants accès à ces comptes sans qu’ils aient d’abord à s’introduire dans le réseau de l’organisation.
Les équipes de sécurité peuvent réduire ce risque en s’appuyant sur trois priorités.
- Restreindre l’accès depuis les appareils vulnérables. Combiner la gestion des appareils mobiles avec des règles d’accès fondées sur l’identité afin d’imposer des versions minimales du système d’exploitation et du navigateur avant d’autoriser les téléphones à accéder aux applications professionnelles sensibles.
- Examiner les comptes potentiellement concernés. Vérifier dans les journaux DNS, proxy et de sécurité mobile disponibles s’il y a eu des communications avec l’infrastructure malveillante publiée par Sekoia, puis examiner les comptes potentiellement concernés à la recherche de sessions suspectes. Une analyse propre de l’appareil ne suffit pas à exclure un vol de données antérieur.
- Invalider les accès compromis. Révoquer les sessions concernées et réinitialiser les identifiants exposés depuis un appareil de confiance lorsque les éléments disponibles confirment une compromission. Installer les mises à jour de sécurité ne peut pas invalider des données d’authentification déjà capturées par les attaquants.
Les autorisations associées au compte d’un employé doivent déterminer l’urgence avec laquelle les équipes de sécurité escaladent une compromission présumée. Un accès administratif à des systèmes critiques peut transformer un incident touchant un seul appareil en problème de sécurité concernant toute l’entreprise.
En savoir plus sur la sécurité mobile : le bulletin de sécurité de novembre de Google comprend environ deux douzaines de vulnérabilités critiques affectant les composants logiciels et matériels fondamentaux d’Android.