Sekoia attribue à APT29 une campagne mobile via Plerdy
La société française a publié le 4 novembre l'enquête Poisoned Source, qui décrit des attaques contre iPhone et Android via des sites compromis.
La société de sécurité française Sekoia a publié le 4 novembre son enquête intitulée Poisoned Source, consacrée à une campagne d'espionnage mobile visant des iPhone et des Android. Sekoia estime, avec un degré de confiance Médium à élevé, que cette campagne est l'œuvre d'APT29 ou d'un groupe subordonné, selon dailysecu.com.
Les attaquants ont livré du code d'exploitation aux visiteurs de sites légitimes compromis, par l'intermédiaire d'un script d'analyse web modifié. Le script de suivi Plerdy altéré a été actif du 27 août 2026 au 3 septembre 2026.
Deux chaînes d'attaque sur iOS, une sur Android
Sur iOS 16.7, la chaîne d'attaque reposait sur CVE-2025-43529 et CVE-2024-27834 pour tenter de dérober des cookies. Sur iOS 18.5, elle utilisait DarkSword, qui combine cinq vulnérabilités dont CVE-2026-20700, afin de collecter des SMS, les bases de données WhatsApp et Telegram, des identifiants stockés, des données de localisation et des photos.
Sur Android, l'attaque exploitait la vulnérabilité CVE-2026-3910 de Chrome et CVE-2025-27038 du pilote graphique Adreno. Le logiciel malveillant AndroSnitch était conçu pour collecter les cookies Chrome, les identifiants enregistrés, l'historique de navigation et les mots de passe Wi-Fi.
Sekoia précise que toutes les chaînes d'attaque analysées reposent sur des vulnérabilités déjà corrigées par les éditeurs et ne fonctionnent pas sur des appareils entièrement à jour.
En bref
Qu'est-ce que l'enquête Poisoned Source ?
Une publication de Sekoia du 4 novembre décrivant une campagne d'espionnage mobile attribuée avec un degré de confiance Médium à élevé à APT29 ou à un groupe subordonné.
Les appareils à jour sont-ils concernés ?
Non. Sekoia indique que les chaînes d'attaque analysées utilisent des vulnérabilités déjà corrigées et ne fonctionnent pas sur des appareils entièrement à jour.