APT29 « Poisoned Source » : watering hole iOS et Android

Trois vecteurs, trois chaînes d’exploitation

Le 4 novembre 2026, l’équipe Threat Detection & Research de Sekoia a publié un rapport intitulé « Poisoned Source » documentant une campagne de watering hole sophistiquée attribuée à APT29 avec un niveau de confiance modéré à élevé. APT29, également connu sous les noms Cozy Bear, Midnight Blizzard ou Nobelium, est un groupe de cyberespionnage associé au Service des renseignements extérieurs de la Fédération de Russie (SVR).

La campagne repose sur trois vecteurs d’infection distincts. Le premier consiste en l’injection de JavaScript malveillant dans des sites légitimes préalablement compromis, transformant ces pages en pièges pour les visiteurs mobiles. Le deuxième vecteur exploite des domaines lookalike imitant des sites à fort trafic, conçus pour attirer des cibles spécifiques. Le troisième, sans doute le plus préoccupant, est la compromission du script analytique du service ukrainien Plerdy, largement utilisé pour le suivi de trafic web. Ce script a été détourné pendant environ une semaine entre fin août et début septembre 2026, permettant aux attaquants d’injecter du code de fingerprinting sur l’ensemble des sites utilisant Plerdy.

Sekoia a identifié trois chaînes d’exploitation distinctes, chacune ciblant une combinaison système d’exploitation/navigateur spécifique. La première chaîne vise les appareils iOS 16.7 et procède au vol de cookies de session, permettant potentiellement une reprise de session authentifiée sans mot de passe. La deuxième chaîne, baptisée DarkSword par les chercheurs, cible iOS 18.5 et est capable de collecter un ensemble bien plus large de données : données de session, identifiants stockés, et informations détaillées sur le comportement de navigation. DarkSword est décrit comme un kit d’exploitation suspect provenant d’un fournisseur commercial de logiciels de surveillance, ce qui suggère qu’APT29 aurait fait appel à des capacités offensives développées en dehors de ses propres équipes techniques.

La troisième chaîne cible les versions de Chrome pour Android comprises entre 139 et 145, à l’exception de la version 143. Elle déploie un payload nommé AndroSnitch, conçu pour collecter les cookies Chrome, les identifiants et mots de passe enregistrés, l’historique de navigation, ainsi que les paramètres Wi-Fi de l’appareil. Ces informations combinées offrent aux attaquants un profil complet de la victime et potentiellement un accès aux réseaux d’entreprise ou gouvernementaux auxquels elle se connecte habituellement. La collecte des configurations Wi-Fi est particulièrement notable, car elle peut permettre une attaque ciblée ultérieure sur des réseaux internes.

Un point central du rapport Sekoia est que l’ensemble des vulnérabilités exploitées par ces trois chaînes sont des n-days, c’est-à-dire des failles déjà connues et corrigées par les éditeurs. Aucun zero-day n’a été identifié. Cette précision est importante : certains médias ont qualifié ces exploits de zero-days, ce qui contredit les conclusions du rapport original. Un appareil entièrement à jour n’est pas vulnérable à cette campagne, ce qui en fait l’une des rares situations où la recommandation de mise à jour est absolument décisive.

L’attribution à APT29 repose sur des indicateurs techniques et comportementaux analysés par Sekoia. L’équipe note que le groupe a potentiellement sélectionné le service Plerdy en raison de son utilisation massive dans des sites liés à des événements à fort profil diplomatique ou institutionnel, leur permettant de toucher des cibles de valeur sous couvert d’une invitation ou d’un sujet d’actualité. L’objectif final de la campagne reste difficile à établir avec certitude, les chercheurs n’ayant pu déterminer si les cibles étaient sélectionnées de manière opportuniste ou selon des critères précis de sélection.

La compromission d’un script analytique tiers illustre une fois de plus le risque posé par la chaîne d’approvisionnement logicielle. Des centaines de sites intégrant Plerdy ont involontairement servi de vecteurs, à l’insu de leurs propriétaires. Ce type d’attaque dit supply chain via tiers de confiance est particulièrement difficile à détecter car le code malveillant transite par une ressource habituellement considérée comme fiable par les navigateurs et les solutions de sécurité périmétrique.

D’après Sekoia, la campagne n’avait pas été stoppée au moment de la publication du rapport début novembre 2026. Des indicateurs de compromission (IoCs) ont été partagés avec la communauté pour permettre aux équipes de défense d’identifier des traces de l’activité dans leurs environnements réseau et leurs journaux d’endpoints.

Un pattern en hausse : les mobiles comme première cible des APT

Cette campagne s’inscrit dans une tendance plus large d’intensification des attaques visant les appareils mobiles, longtemps considérés comme des cibles secondaires dans le paysage des menaces avancées. Les terminaux iOS et Android sont désormais des vecteurs privilégiés pour les groupes de cyberespionnage étatiques, précisément parce que leur gestion de sécurité est souvent moins rigoureuse que celle des postes de travail dans les environnements d’entreprise. La surface d’attaque mobile reste globalement sous-estimée dans les programmes de cybersécurité organisationnels.

APT29 a déjà fait parler de lui en 2026, notamment avec l’ajout par la CISA de CVE-2024-27834 — une faille WebKit d’Apple — à son catalogue des vulnérabilités exploitées connues (KEV), en lien direct avec des activités attribuées à ce même groupe. La continuité des opérations d’APT29 sur le vecteur mobile confirme une stratégie délibérée d’exploitation des terminaux personnels comme porte d’entrée vers des cibles institutionnelles de haut niveau.

Pour les entreprises et les organisations gouvernementales, l’implication est directe : les politiques de MDM (Mobile Device Management) et de mise à jour forcée des appareils mobiles ne sont plus optionnelles. Un collaborateur utilisant un iPhone ou un Android non à jour sur un réseau Wi-Fi professionnel représente un risque d’intrusion non négligeable face à des acteurs de ce niveau de sophistication. Les politiques BYOD doivent intégrer des exigences minimales de version de système d’exploitation et des mécanismes de vérification d’intégrité.

L’utilisation présumée d’un kit d’exploitation commercial (DarkSword) par APT29 soulève également la question de l’accès des services de renseignement étatiques à des outils offensifs développés par l’industrie privée de la surveillance. Après les révélations sur NSO Group et son outil Pegasus, ce rapport suggère qu’APT29 diversifie ses capacités en faisant appel à des fournisseurs tiers spécialisés, complexifiant ainsi l’attribution technique et la détection par signature.

Ce qu’il faut retenir

• Mettre à jour iOS et Android immédiatement : les chaînes d’exploitation documentées ne fonctionnent pas sur des appareils à jour.
• Auditer les scripts analytiques tiers intégrés à vos sites : un service compromis comme Plerdy peut transformer votre site en vecteur d’attaque sans que vous en ayez connaissance.
• Renforcer les politiques MDM pour imposer les mises à jour mobiles en entreprise, notamment pour les accès aux ressources sensibles et les environnements BYOD.