APT29 lié à une campagne de point d’eau mobile exploitant des chaînes d’exploitation n-day

Security Affairs rapporte, sur la base de recherches publiées par Sekoia, qu’une campagne de point d’eau de grande ampleur cible les utilisateurs d’iOS et d’Android. Sekoia a repéré la campagne pour la première fois à la mi-octobre 2026 sur le site web d’une société ukrainienne de production de gaz. Parmi les sites compromis figuraient des sites aux États-Unis, en Ukraine, en République tchèque et en Bulgarie, et le service ukrainien d’analyse web Plerdy a été compromis lors d’une attaque contre la chaîne d’approvisionnement qui a touché des milliers de sites web, pour la plupart ukrainiens.

Sekoia a également identifié deux faux sites web, l’un copiant America250 et l’autre reproduisant le site web de Raffles London at The OWO, un hôtel de luxe situé près du ministère britannique de la Défense et de Downing Street. Sekoia estime que le site de l’hôtel a pu servir à cibler des délégations diplomatiques par spear-phishing, mais précise que cela n’est pas confirmé. Sekoia ne peut dire si les attaquants visaient des visiteurs précis ou le plus grand nombre possible de téléphones non corrigés.

Sekoia a extrait trois chaînes d’exploitation du serveur de diffusion. La classe B est DarkSword, que Sekoia décrit comme un kit d’exploitation iOS présumé issu d’un éditeur commercial de solutions de surveillance. La charge utile Android, que Sekoia appelle AndroSnitch, collecte les cookies, les identifiants enregistrés et l’historique de Chrome, ainsi que les paramètres Wi-Fi. Selon Sekoia, toutes les chaînes reposent sur des failles connues, corrigées par leurs éditeurs avant le début de la campagne, et aucune n’utilise de zero-day.

Pourquoi c’est important Pour les équipes de sécurité, la campagne montre que des visiteurs peuvent être infectés sur des sites auxquels ils font confiance, y compris par un script d’analyse tiers. L’inventaire des scripts et la surveillance des balises tierces importent donc autant que l’application de correctifs sur les terminaux. Les utilisateurs mobiles dont les versions d’iOS et d’Android ne sont pas corrigées restent exposés à ces chaînes n-day, tandis que le rapport de Sekoia indique que les appareils entièrement à jour ne sont pas touchés. Les enquêteurs devraient prendre note des indicateurs rapportés, du script UltimateFingerprinter et de la réutilisation d’un kit d’exploitation commercial, signe que des groupes soutenus par des États adoptent des exploits mobiles prêts à l’emploi.