APT29 cible mobiles avec exploits n-day via watering holes
Mi-octobre 2026, l’équipe de Threat Detection & Research de Sekoia a découvert une campagne d’envergure. Il s’agit d’une série d’attaques de type watering hole visant des sites web reconnus aux États-Unis, en Ukraine, en République tchèque et en Bulgarie. Les acteurs derrière cette opération, que Sekoia attribue avec une confiance modérée à élevée à APT29 (également connu sous les noms de Midnight Blizzard ou Cozy Bear), exploitent des vulnérabilités d’un jour (n-day) pour cibler les appareils mobiles sans aucune interaction de l’utilisateur.
L’attaque repose sur trois vecteurs d’infection : l’injection directe de JavaScript sur des sites légitimes, l’usage de domaines miroirs (type Adversary-in-the-Middle ou AiTM), et une compromission de la chaîne d’approvisionnement. Cette dernière a touché le service d’analyse web ukrainien Plerdy, exposant ainsi des centaines de sites légitimes à leur kit d’exploitation pendant une semaine.
Le mécanisme de livraison est uniforme : le code injecté sert d’abord à profiler le visiteur, collectant des données sur le navigateur et l’appareil en format JSON. Ensuite, le serveur de livraison sert la chaîne d’exploit spécifique au système d’exploitation. Pour les appareils iOS, on observe l’utilisation de DarkSword, un kit d’exploitation commercial soupçonné, qui permet d’atteindre des objectifs précis.
Les cibles et les vecteurs d’infection
Les attaquants ont utilisé une méthode astucieuse pour contourner les défenses classiques. Lorsque la compromission directe d’un site était difficile, ils ont créé des proxys miroirs. Deux exemples notables sont america250[.]holiday, qui agit comme miroir de la page officielle commémorant le 250e anniversaire de l’indépendance américaine, et theowo[.]club, qui imitait le Raffles London. Le fait d’imiter un établissement proche de centres gouvernementaux britanniques soulève la question de cibles diplomatiques précises, comme l’a noté Sekoia, citant la présence de Volodymyr Zelensky à l’hôtel.
Sur les sites originaux, l’injection se faisait soit dans le modèle de page principal — comme sur une entreprise de gaz ukrainienne — soit par la modification d’une bibliothèque JavaScript existante, tel que vu sur un site militaire bulgare. Pour les navigateurs Android, le dernier exploit connu cible la vulnérabilité CVE-2026-3910, un défaut de buffer dans V8 de Chromium, qui permettrait l’exécution de code arbitraire depuis une page HTML élaborée. Sur iOS, l’exploitation de la CVE-2024-27834, une faille dans la protection PAC d’Apple, a permis un accès avec lecture et écriture arbitraire, et ce, même après que les correctifs aient été publiés.
La gravité réelle des failles et les conséquences
Ce qui est inquiétant, ce n’est pas tant la sophistication des kits d’exploitation, mais la réutilisation de ces outils par des groupes étatiques. Sekoia souligne que « l’adoption de chaînes d’exploitation n-day empaquetées abaisse le coût et le seuil technique requis pour mener une exploitation mobile avancée » (« Sekoia »). Ces vulnérabilités, même corrigées, restent des cibles privilégiées, comme le montre l’ajout de la CVE-2024-27834 dans le catalogue KEV de CISA, signalant qu’elle est exploitée activement.
Pour les utilisateurs Android, le payload final, AndroSnitch, vise à siphonner les données stockées dans Chrome, incluant mots de passe et identifiants Wi-Fi, grâce à l’exploitation de la CVE-2025-27038, un bug Qualcomm. Sur iOS, les conséquences sont bien plus lourdes : les payloads peuvent cibler messages, e-mails, contacts, photos et le contenu d’iCloud Drive, selon les rapports de Sekoia.
Que faire maintenant
Bien que les systèmes d’exploitation aient reçu des mises à jour, le fait que ces failles soient activement réutilisées montre qu’une vigilance extrême est requise. Les utilisateurs doivent impérativement s’assurer que leurs systèmes d’exploitation sont à jour avec les correctifs pertinents pour iOS 17.5 et iPadOS 17.5, ainsi que les versions Android intégrant les correctifs de sécurité de Qualcomm. Pour les entreprises, la détection des injections JavaScript sur les actifs web, et la surveillance des dépendances tierces comme les trackers SEO, s’avèrent être des priorités immédiates face à ce type d’intrusion sophistiquée.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2024-27834 | Apple Multiple Products | Moyenne (CVSS 5,5) | Oui (KEV, 4 novembre 2026) | Voir l’avis de l’éditeur |
| CVE-2025-27038 | Qualcomm Multiple Chipsets | Élevée (CVSS 7,5) | Oui (KEV, 3 juin 2025) | Voir l’avis de l’éditeur |
| CVE-2026-3910 | Google Chromium V8 | Élevée (CVSS 8,8) | Oui (KEV, 13 mars 2026) | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Poisoned Source: APT29 Watering Holes Targets Mobile Devices, sekoia.com
- Russia-Linked Hackers Hit iOS, Android Devices With Exploit Chains via Watering Holes, SecurityWeek, 5 novembre 2026
- Hackers use n-day exploits in zero-click attacks on iOS, Android devices, BleepingComputer, 4 novembre 2026
- Avis de sécurité (support.apple.com), support.apple.com, 14 mai 2024
- GHSA-4rmp-jjj9-cfm4 : The issue was addressed with improved checks. This issue is fixed in iOS 17.5 and iPadOS…, GitHub Advisory Database (CC BY 4.0)
- CVE-2024-27834, NVD (NIST)
- CVE-2024-27834 dans le catalogue KEV, CISA
- GHSA-h454-pc9h-rvh2 : Memory corruption while rendering graphics using Adreno GPU drivers in Chrome., GitHub Advisory Database (CC BY 4.0)
- CVE-2025-27038, NVD (NIST)
- CVE-2025-27038 dans le catalogue KEV, CISA
- GHSA-69wh-543j-25h6 : Inappropriate implementation in V8 in Google Chrome prior to 146.0.7680.75 allowed a…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-3910, NVD (NIST)
- CVE-2026-3910 dans le catalogue KEV, CISA
