APT29 vole des cookies iOS et Android via sites piégés

Ce qui s'est passé

Le 4 novembre 2026, le cabinet de cybersécurité Sekoia a publié un rapport technique détaillant une campagne de watering hole sophistiquée attribuée à APT29, le groupe de hackers lié au Service de renseignement extérieur russe (SVR). L'activité malveillante a été détectée en milieu du mois d'octobre 2026 et présentait des traces de compromission cohérentes avec les opérations passées du groupe, notamment une attaque de type watering hole documentée en 2025.

La technique du watering hole consiste à compromettre ou à créer des sites web fréquentés par les cibles pour y déposer des charges malveillantes. Dans cette campagne, APT29 a combiné trois vecteurs distincts : des sites légitimes préalablement compromis, des domaines lookalike imitant des ressources ukrainiennes et gouvernementales, et — élément particulièrement préoccupant — un service d'analytique web ukrainien dont le script est chargé par de nombreux sites tiers. En détournant ce script d'analytique, les attaquants ont obtenu une portée démultipliée sur un grand nombre de sites simultanément, sans avoir à les compromettre individuellement.

Sekoia a identifié trois chaînes d'exploitation distinctes, toutes basées sur des vulnérabilités pour lesquelles des correctifs étaient disponibles (n-day exploits). La première chaîne ciblait les appareils iOS fonctionnant sous iOS 16.7 ou antérieur, exploitant une série de failles enchaînées pour dérober les cookies de session des navigateurs des victimes. La deuxième chaîne, baptisée DarkSword par les chercheurs, visait les appareils iOS tournant sous iOS 18.5 et permettait une collecte de données plus complète sur l'ensemble de l'appareil. La troisième chaîne ciblait les appareils Android, en combinant une faille dans certaines versions du navigateur Chrome avec une vulnérabilité dans le pilote graphique Adreno, spécifique aux puces Qualcomm Snapdragon très répandues dans l'univers Android.

Cette chaîne Android aboutissait au déploiement d'un implant appelé AndroSnitch, capable d'extraire les cookies de session du navigateur mais aussi les mots de passe Wi-Fi stockés sur l'appareil. Cette capacité est particulièrement intéressante d'un point de vue espionnage : les mots de passe Wi-Fi permettent à un attaquant de cartographier les environnements physiques fréquentés par la cible, voire de préparer de futures intrusions sur les réseaux d'entreprise ou gouvernementaux.

L'objectif principal de la campagne est le vol de cookies de session. Ces petits fichiers, stockés par les navigateurs, permettent de maintenir une session authentifiée sur un service web sans avoir à saisir à nouveau le mot de passe ou le deuxième facteur d'authentification. Un attaquant en possession de ces cookies peut donc se connecter aux comptes de messagerie, aux portails gouvernementaux, aux applications métier cloud, ou aux services bancaires de la victime, en contournant l'authentification multifacteur. Les cookies dérobés permettent également d'identifier les sites visités régulièrement par la cible, fournissant des renseignements précieux sur ses activités et ses contacts.

L'attribution à APT29 et au SVR repose sur plusieurs indices techniques concordants. Des artefacts numériques laissés sur l'un des sites compromis correspondaient à des marqueurs observés lors d'une précédente campagne de watering hole attribuée à APT29 en 2025. La géographie des victimes, centrée sur l'Ukraine et ses partenaires, correspond aux priorités de renseignement connues du SVR. Enfin, la sophistication technique de l'opération — chaînes multi-étapes, exploitation simultanée d'iOS et Android, détournement d'un service d'analytique tiers — est caractéristique des moyens avancés d'un groupe étatique. Sekoia maintient néanmoins une attribution avec un niveau de confiance modéré à élevé, reconnaissant l'impossibilité d'une certitude absolue en matière de cyber-attribution.

Face à ses découvertes, Sekoia a engagé des démarches de remédiation proactives, en contactant 25 hébergeurs et fournisseurs de services pour signaler et faire retirer les domaines et adresses IP malveillants associés à la campagne. Cette coordination avec l'écosystème de la sécurité internet représente un aspect crucial de la réponse à ce type d'attaque, qui repose sur une infrastructure distribuée difficile à neutraliser unilatéralement. Help Net Security et Infosecurity Magazine ont confirmé la divulgation simultanée des indicateurs de compromission (IoC) pour permettre à la communauté de se défendre.

Cette campagne s'inscrit dans une tendance documentée depuis plusieurs années : les acteurs étatiques russes, et APT29 en particulier, investissent de plus en plus les environnements mobiles comme vecteur d'espionnage. Après avoir maîtrisé l'exploitation des environnements Windows et les intrusions cloud (notamment la compromission de Microsoft Exchange Online attribuée à APT29 en 2023), le groupe démontre ici une capacité opérationnelle multi-plateforme qui oblige les organisations à repenser leur périmètre de sécurité bien au-delà du poste de travail traditionnel.

Pourquoi c'est important

Cette campagne illustre une évolution majeure des tactiques d'espionnage étatique : le mobile est devenu un vecteur d'intrusion de premier plan, et pas seulement une cible secondaire. Dans les organisations, les smartphones et tablettes accèdent aux mêmes ressources que les postes fixes — messagerie professionnelle, outils collaboratifs, VPN, portails RH, systèmes métier — tout en échappant souvent aux dispositifs de détection et réponse aux incidents (EDR, SIEM) déployés sur les environnements Windows et Linux.

L'utilisation de n-day exploits (vulnérabilités corrigées mais pas encore appliquées) plutôt que de zero-days est un signe de maturité opérationnelle et de réalisme. Les zero-days sont rares et coûteux ; les n-days sont abondants, car une fraction significative du parc mobile mondial fonctionne en permanence avec des mises à jour en retard de plusieurs mois. Pour des cibles diplomatiques, militaires ou gouvernementales ukrainiennes — priorité géopolitique évidente du SVR — cette approche est suffisamment efficace sans exposer des capacités zero-day précieuses.

Pour les entreprises et les administrations françaises, cette campagne est un rappel direct que la gestion des correctifs mobiles (Mobile Device Management, MDM) n'est pas optionnelle. Les politiques BYOD (Bring Your Own Device), encore répandues dans de nombreuses organisations, posent un risque particulier : les employés accèdent à des ressources professionnelles depuis des appareils personnels que l'équipe IT ne peut pas forcer à se mettre à jour. Par ailleurs, la compromission d'un service d'analytique web tiers souligne la nécessité d'auditer les scripts de tiers chargés sur les sites web des organisations.

D'un point de vue réglementaire, cette attaque renforce les arguments en faveur de l'article 21 de la directive NIS2, qui impose aux entités essentielles et importantes d'inclure la sécurité mobile dans leur gestion des risques. Les autorités nationales de cybersécurité, dont l'ANSSI en France, ont régulièrement insisté sur la nécessité d'étendre les politiques de sécurité aux terminaux mobiles professionnels. La campagne APT29 offre une démonstration concrète du risque pour soutenir ces politiques en interne.

Ce qu'il faut retenir

• Mettre à jour immédiatement tous les appareils iOS et Android utilisés pour accéder aux ressources professionnelles — les n-day exploits documentés ciblent iOS 16.7, iOS 18.5 et des versions Android Chrome/Adreno non patchées.
• Auditer les scripts tiers (analytique, publicité, chat) chargés sur les sites web de l'organisation : la compromission d'un service d'analytique ukrainien a démultiplié la portée de la campagne.
• Implémenter une gestion stricte du cycle de vie des cookies de session (durée courte, binding IP/User-Agent) pour limiter l'impact d'un vol de cookies même en cas de compromission.