APT29 exploite des failles n-day sur mobiles via sites compromis
Des acteurs étatiques, identifiés comme APT29, déploient une campagne massive de type watering hole visant des utilisateurs de téléphones mobiles. Cette opération, découverte par l’équipe de recherche de Sekoia en octobre 2026, utilise des failles de sécurité connues, les fameux n-day exploits, sur des systèmes d’exploitation déjà patchés.
L’attaque ne requiert aucune interaction de l’utilisateur. Les attaquants parviennent à délivrer ces chaînes d’exploitation spécifiques à la plateforme — qu’il s’agisse d’iOS ou d’Android — via trois vecteurs d’infection principaux. On parle ici de l’injection directe de JavaScript sur des sites légitimes, de l’utilisation de domaines miroirs agissant en tant que proxy adversaire (Adversary-in-the-Middle), et, de manière particulièrement insidieuse, de la compromission de services d’analyse web tiers, comme le tracker Plerdy SEO.
Ce qui est touché et la gravité réelle
Le but final de cette chaîne d’attaque est clair : exfiltrer des données sensibles. Sur les appareils iOS, les payloads sont capables de siphonner non seulement des cookies de session, mais aussi des informations beaucoup plus profondes, incluant des messages SMS et iMessage, des mots de passe du Keychain, les données de localisation, et même des informations issues d’Apple Health, selon les détails de l’exploitation de la variante DarkSword.
Pour les utilisateurs d’Android, la chaîne d’attaque, notamment celle exploitant CVE-2026-3910 et CVE-2025-27038, permet de récupérer les cookies de Chrome, les mots de passe enregistrés, l’historique de navigation, ainsi que les mots de passe Wi-Fi. Il est à noter que, bien que les failles aient été corrigées, l’usage de ces exploitations montre la persistance de la menace.
La gravité de l’exploitation réside dans le fait qu’elle est menée de manière silencieuse. Le code injecté sert d’abord à profiler l’appareil et le navigateur de la victime. Ensuite, la plateforme sert la chaîne d’exploitation appropriée. D’après les analyses, bien que certaines failles aient été corrigées, le fait que les attaquants utilisent des kits d’exploitation commerciaux, comme DarkSword, permet de baisser le seuil technique pour mener ce genre d’attaques sophistiquées.
Qui doit agir et comment
Le réseau de sites visés est vaste et varié. On retrouve des entités stratégiques — une entreprise de gaz en Ukraine, des sites liés à l’industrie chimique américaine, ou encore des organisations militaires bulgares. Les attaquants ont également créé des sites miroirs pour imiter des plateformes connues, comme le site de l’initiative America250 ou l’hôtel Raffles London, situé à proximité de zones gouvernementales britanniques sensibles. Cela suggère une tentative de ciblage précis, peut-être pour des délégations diplomatiques, comme l’indique l’association avec la présence du président Zelensky à l’hôtel Raffles.
Les chercheurs ont souligné que toutes les failles exploitées dans ces trois chaînes (iOS 16.7, iOS 18.5, et Chrome 139 à 145) avaient été corrigées avant le début de la campagne. Sekoia insiste sur ce point : « un utilisateur utilisant un système d’exploitation à jour est à l’abri de ces attaques ».
Il faut cependant rester vigilant sur la réutilisation de ces outils. Google, par exemple, a documenté des campagnes similaires impliquant APT29 utilisant des failles Chrome comme CVE-2024-5274 et CVE-2024-4671 sur des sites gouvernementaux mongols, prouvant la récurrence de ces tactiques.
Les CERTs des pays affectés, dont CERT-UA, travaillent actuellement à identifier les victimes et à trouver des moyens de désorganiser l’infrastructure de ces watering holes.
Il faut surveiller les mises à jour des systèmes d’exploitation et des navigateurs, car le recours à des kits d’exploitation commerciaux par des acteurs étatiques rend ces menaces plus accessibles à grande échelle.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2024-27834 | — | Moyenne (CVSS 5,5) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2024-4671 | Google Chromium | Critique (CVSS 9,6) | Oui (KEV, 13 mai 2024) | Voir l’avis de l’éditeur |
| CVE-2024-5274 | Google Chromium V8 | Critique (CVSS 9,6) | Oui (KEV, 28 mai 2024) | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Poisoned Source: APT29 Watering Holes Targets Mobile Devices, sekoia.com
- State-backed attackers and commercial surveillance vendors repeatedly use the same exploits, blog.google
- Russian hackers target iOS and Android users with n-day exploits, Help Net Security, 4 novembre 2026
- APT29-Linked Hackers Hijack Web Analytics Script to Deliver iOS and Android Exploits, The Hacker News, 4 novembre 2026
- APT29 Watering Holes Target Unpatched iPhones and Android Devices, Infosecurity Magazine, 4 novembre 2026
- Avis de sécurité (support.apple.com), support.apple.com, 14 mai 2024
- GHSA-4rmp-jjj9-cfm4 : The issue was addressed with improved checks. This issue is fixed in iOS 17.5 and iPadOS…, GitHub Advisory Database (CC BY 4.0)
- CVE-2024-27834, NVD (NIST)
- GHSA-gg58-4q4g-xvcw : Use after free in Visuals in Google Chrome prior to 124.0.6367.201 allowed a remote…, GitHub Advisory Database (CC BY 4.0)
- CVE-2024-4671, NVD (NIST)
- CVE-2024-4671 dans le catalogue KEV, CISA
- CVE-2024-5274, NVD (NIST)
- CVE-2024-5274 dans le catalogue KEV, CISA
