Mercredi 4 novembre, l’entreprise française de cybersécurité Sekoia a publié le détail de « Poisoned Source », une campagne de « watering hole » qu’elle attribue au groupe russe APT29 avec un niveau de confiance qu’elle juge modéré à élevé. Explications.
Mercredi 4 novembre, l’équipe Threat Detection & Research (TDR) de Sekoia, société française de cybersécurité, a mis en ligne sur son site un rapport consacré à une campagne ciblant les utilisateurs d’iPhone et d’Android. Elle l’attribue à APT29, un groupe d’intrusion largement attribué, selon le billet, au service de renseignement extérieur russe (SVR).
L’équipe indique avoir découvert la campagne à la mi-octobre 2026, à travers la compromission ou le clonage de plusieurs sites très fréquentés aux États-Unis, en Ukraine, en République tchèque et en Bulgarie.
Poisoned Source : une entreprise gazière ukrainienne et un hôtel londonien parmi les leurres
Trois vecteurs d’infection ont été identifiés : l’injection directe de JavaScript dans des sites légitimes, des domaines de type « adversary-in-the-middle » et la compromission d’un service ukrainien d’analyse d’audience. Tous livrent le même code, qui charge un script externe chargé d’établir le profil du navigateur et de l’appareil du visiteur.
Parmi les sites légitimes piégés figurent ceux d’une entreprise gazière ukrainienne, d’une association professionnelle américaine de l’industrie chimique, d’un parti politique européen d’extrême droite et d’un site bulgare lié au domaine militaire.
Côté faux domaines, america250[.]holiday relayait le site officiel America250, tandis que theowo[.]club, aujourd’hui hors ligne, relayait celui de l’hôtel Raffles London at The OWO. Le billet relève que l’établissement se situe à proximité de plusieurs institutions gouvernementales britanniques parmi les plus sensibles, et que le président ukrainien Volodymyr Zelensky y a séjourné lors d’une visite le 14 octobre.
Plerdy : une semaine de compromission, des milliers de sites clients
Le troisième vecteur est une attaque de la chaîne d’approvisionnement. Entre le 27 août et le 3 septembre 2026, le groupe a compromis le traqueur Plerdy, un composant tiers d’analyse web hébergé sur le domaine a.plerdy[.]com et chargé par des milliers de sites, en grande majorité ukrainiens d’après le rapport.
Pendant une semaine, ce script a donc été servi à tous les visiteurs de ces sites, sans qu’aucune action de leur part ne soit nécessaire pour déclencher le profilage.
DarkSword sur iOS 18.5, Chrome 139 à 145 sur Android : trois chaînes d’exploits
Le script de profilage, baptisé UltimateFingerprinter, interroge 61 collecteurs qui construisent 394 champs au format JSON. Selon le rapport, trois chaînes d’exploits sont ensuite déployées selon l’appareil.
La première cible iOS 16.7 pour voler les cookies. La deuxième, nommée DarkSword, vise iOS 18.5 et collecte l’ensemble des données de l’appareil. La troisième s’attaque à Chrome 139 à 145 sur Android pour récupérer les cookies et les mots de passe Wi-Fi ; l’exploitation s’arrête si l’appareil détecté est un Samsung Galaxy S25 Ultra.
Les trois chaînes reposent sur des failles déjà connues et corrigées. « Cette opération cible des appareils non corrigés à l’aide de failles n-day ; un utilisateur dont le système d’exploitation est à jour est à l’abri de ces attaques », précise le billet (traduit de l’anglais).
APT29 et le SVR : l’attribution de Sekoia, les CERT en renfort
Pour l’attribution à APT29, Sekoia invoque des recoupements techniques avec des opérations antérieures, la victimologie et l’infrastructure employée. Elle évalue sa confiance comme modérée à élevée.
Sekoia, qui a lancé fin octobre un SOC agentique auto-hébergé destiné aux infrastructures critiques, indique par ailleurs coordonner ses travaux avec les CERT (équipes nationales de réponse aux incidents informatiques) des pays touchés, afin d’aider à l’identification des victimes et d’évaluer les options pour perturber l’infrastructure des attaquants.
