Une vaste campagne de type « watering hole », attribuée avec un niveau de confiance moyen à élevé au groupe russe APT29, a ciblé des utilisateurs d’iOS et d’Android au moyen de sites compromis et de domaines usurpant l’identité de portails légitimes. Selon des chercheurs de l’entreprise de cybersécurité Sekoia, l’opération a utilisé des sites aux États-Unis, en Ukraine, en République tchèque et en Bulgarie pour diffuser du code qui établissait le profil des visiteurs et sélectionnait des exploits adaptés à leurs appareils, sans nécessiter aucune interaction.

Parmi les sites légitimes compromis figuraient un producteur de gaz ukrainien, une association professionnelle américaine de l’industrie chimique et un site bulgare lié au secteur militaire, selon les chercheurs. Les attaquants ont également utilisé des domaines similaires imitant le site officiel America250 et l’hôtel Raffles London at The OWO, en relayant le contenu des véritables sites au moyen d’un dispositif de type « adversary-in-the-middle ».

Sekoia a également découvert que les attaquants avaient compromis Plerdy, un fournisseur ukrainien d’analyses Web, et modifié son traceur SEO. Le traceur modifié a été chargé par des milliers de sites Web, principalement en Ukraine, entre le 27 août et le 3 septembre. Dans les cas analysés, du JavaScript a d’abord identifié les appareils des visiteurs et les versions de leur navigateur, après quoi un serveur de commande et de contrôle a fourni la chaîne d’exploitation correspondante.

Les exploits visaient des vulnérabilités présentes dans d’anciennes versions d’iOS et de Chrome pour Android. Sous iOS 16.7, la chaîne visait les cookies de Safari. Une autre chaîne, conçue pour iOS 18.5, recherchait les bases de données de WhatsApp et de Telegram, les identifiants du trousseau, les données de localisation et les photos. Sur les versions 139 à 145 de Chrome pour Android, à l’exception de la version 143, la charge utile AndroSnitch collectait les cookies, les données de connexion, l’historique de navigation et les identifiants Wi-Fi enregistrés.

Sekoia a identifié quatre autres vulnérabilités dans du code inaccessible ou dans des voies d’exploitation alternatives, mais a indiqué qu’elles n’avaient pas été utilisées dans les chaînes examinées. Les chercheurs ont également associé CVE-2025-43529 à la trousse d’exploitation DarkSword, documentée pour la première fois en mars et utilisée par plusieurs groupes de menaces depuis au moins novembre 2025.

Selon Sekoia, les charges utiles ne permettaient pas d’établir une persistance, ce qui signifie que le redémarrage d’un appareil interrompait l’activité jusqu’à ce que l’utilisateur visite de nouveau un site compromis. Les chercheurs ont fondé leur attribution à APT29 sur des similitudes avec les précédentes opérations de type « watering hole » du groupe, des recoupements d’infrastructures et un site compromis qu’un partenaire avait relié à une campagne d’APT29 en 2025.

Apple et Google ont corrigé toutes les vulnérabilités visées dans cette campagne, et des correctifs ont également été proposés pour d’anciennes versions d’iOS. Il est conseillé aux utilisateurs d’installer les dernières mises à jour de sécurité disponibles pour leurs appareils.

Sources: BleepingComputer.