APT29 est un groupe de piratage largement rattaché au service des renseignements extérieurs russe (SVR), aussi suivi sous les noms Midnight Blizzard, Cozy Bear ou The Dukes. Le 4 novembre 2026, l’entreprise française de cybersécurité Sekoia lui attribue, avec une confiance qu’elle qualifie de « moyenne à forte », une campagne baptisée « Poisoned Source », découverte mi-octobre par son équipe de recherche (TDR). La campagne vise des smartphones Android et iPhone via des sites web piégés, sans qu’aucun clic ni téléchargement ne soit nécessaire de la part de la victime.
Comment fonctionne l’attaque par point d’eau de la campagne Poisoned Source ? #
Sekoia a détecté le déclencheur de la campagne en repérant un script JavaScript malveillant injecté en tête de la page d’accueil du site d’une entreprise ukrainienne de production de gaz. L’enquête a ensuite mis à jour trois vecteurs de diffusion complémentaires.
Le premier est une injection directe de code JavaScript malveillant dans des sites légitimes déjà compromis, qui redirige silencieusement le visiteur vers un serveur d’exploitation. Le second repose sur de faux domaines imitant des sites légitimes, utilisés pour des attaques de type « adversaire au milieu » (AiTM) : Sekoia cite notamment america250[.]holiday, qui imite un site consacré au 250ᵉ anniversaire des États-Unis, et theowo[.]club, qui imite le site d’un hôtel londonien situé face au ministère britannique de la Défense.
Le troisième vecteur, plus large, est la compromission d’un service tiers largement utilisé : entre le 27 août et le 3 septembre 2026, les attaquants ont piégé le script du traceur d’analyse web ukrainien Plerdy (a.plerdy.com), chargé par des milliers de sites, majoritairement ukrainiens, pendant environ une semaine. Dans les trois cas, la simple consultation d’une page infectée dans un navigateur mobile suffisait à déclencher la chaîne d’exploitation.
Pourquoi Sekoia attribue-t-elle cette campagne à APT29 ? #
Selon Sekoia, Google Threat Analysis Group (TAG) a confirmé que le cadre technique employé présente de fortes similitudes avec une campagne de 2024 ayant visé des sites gouvernementaux mongols, déjà documentée publiquement. Sekoia a coordonné sa divulgation avec les CERT nationaux des pays touchés ainsi qu’avec Google TAG, ce qui renforce la crédibilité de l’attribution malgré l’absence, à ce stade, d’indicateurs techniques (IOC) publiés en détail.
Quels appareils et quelles failles sont utilisés ? #
Point commun aux trois chaînes d’exploitation identifiées par Sekoia : elles reposent toutes sur des failles déjà corrigées par Google et Apple (des « n-day »), et non sur des failles inédites (zero-day). Voir aussi notre dossier sur les failles zero-day pour la distinction entre les deux.
| Chaîne | Appareils visés | Failles exploitées | Effet |
|---|---|---|---|
| Classe A | iPhone sous iOS 16 à 17.4 | CVE-2025-43529 associée à CVE-2024-27834 (contournement du mécanisme PAC) | Vol des cookies de session |
| Classe B | iPhone sous iOS jusqu’à 18.5 | Suite complète « DarkSword » | Accès aux messages, photos, données de localisation et de santé |
| Classe C | Android, Chrome versions 139 à 145 | CVE-2026-3910 associée à CVE-2025-27038 | Vol de cookies et de mots de passe Wi-Fi via le malware AndroSnitch |
L’ensemble de ces failles avait déjà été corrigé par les éditeurs avant le lancement de la campagne. Le défaut utilisé pour la persistance sur iOS, CVE-2024-27834, est documenté publiquement par le NVD, ce qui permet de vérifier que le correctif correspondant est disponible depuis plusieurs mois. Le risque ne concerne donc que les appareils dont les mises à jour système n’ont pas été installées.
Qui est visé par cette campagne d’espionnage ? #
Sekoia identifie parmi les cibles des diplomates, des décideurs du secteur de la défense et des personnalités liées au soutien à l’Ukraine. Les sites compromis ou usurpés touchent des organisations aux États-Unis, en Ukraine, en République tchèque et en Bulgarie, dont une association professionnelle américaine de l’industrie chimique, un parti politique européen, un site lié à l’armée bulgare et plusieurs sites militaires ukrainiens.
Sekoia estime que plusieurs milliers de personnes ont pu être potentiellement exposées, tout en précisant qu’il est difficile d’en évaluer le nombre exact. Aucune victime française n’est nommément citée dans le rapport à ce stade, mais sa détection et sa publication par un acteur français de la cybersécurité illustrent la contribution de l’écosystème français à la recherche sur les menaces étatiques. Pour comprendre comment ces groupes opèrent plus largement, consultez notre article sur les groupes APT.
Comment se protéger de ce type de campagne ? #
- Installer sans délai les mises à jour iOS, Android et Chrome dès qu’elles sont proposées : toutes les failles exploitées ici étaient déjà corrigées.
- Séparer les terminaux utilisés pour des communications sensibles des terminaux personnels, en particulier pour les profils exposés (diplomatie, défense, politique).
- Activer l’authentification à deux facteurs sur les comptes critiques, pour limiter l’impact d’un vol de cookies de session.
- Éviter les réseaux Wi-Fi publics sans VPN, le malware Android ciblant aussi les mots de passe Wi-Fi enregistrés.
- Former les personnels exposés à reconnaître les domaines usurpés et les techniques d’ingénierie sociale associées.
- Consulter l’outil CVE Database pour suivre l’état de correction des CVE mentionnées sur son propre parc d’appareils.
L’avis de ForenShield #
Cette campagne illustre un point que beaucoup d’organisations sous-estiment : la mise à jour différée d’un parc mobile. Toutes les failles exploitées ici étaient déjà corrigées, parfois depuis plusieurs mois. La priorité immédiate concerne les profils à exposition géopolitique (diplomatie, défense, think tanks, soutien institutionnel à l’Ukraine). Pour les autres organisations, c’est l’occasion de vérifier le taux réel de déploiement des mises à jour mobiles, souvent repoussées par les utilisateurs eux-mêmes sur les terminaux personnels (BYOD).
Côté détection, un compromis de ce type laisse peu de traces côté serveur de l’entreprise visée. L’essentiel se joue sur le terminal et dans les journaux réseau : connexions sortantes inhabituelles vers des domaines récemment enregistrés, pics de trafic vers des services d’analyse web tiers. Un piège fréquent est de considérer qu’un correctif appliqué suffit à clore l’incident.
Si un appareil a pu être compromis avant la mise à jour, il faut aussi invalider les sessions actives et forcer un changement des mots de passe synchronisés sur l’appareil, pas seulement installer le correctif. Vérifiez également que vos outils de gestion de flotte mobile (MDM) couvrent réellement les terminaux personnels utilisés pour accéder aux ressources professionnelles : c’est souvent l’angle mort qu’exploitent ce type de campagnes.
Points clés #
- Sekoia (France) attribue la campagne « Poisoned Source » à APT29/SVR, avec une confiance moyenne à forte.
- Trois vecteurs : injection JavaScript sur des sites compromis, faux domaines AiTM, compromission du traceur Plerdy.
- Les failles exploitées sur iOS et Android sont toutes déjà corrigées : seuls les appareils non mis à jour sont exposés.
- Cibles observées : diplomates, défense, soutien à l’Ukraine, aux États-Unis, en Ukraine, en République tchèque et en Bulgarie.
- Mettre à jour sans délai iOS, Android et Chrome reste la mesure de protection la plus efficace contre ce type de campagne.