Des hackers russes exploitent des failles zero-click pour attaquer iOS et Android via des sites piratés

Des chercheurs en sécurité de Sekoia affirment qu'un groupe de pirates soutenu par l'État russe a mené une vaste campagne de « point d'eau » (watering hole) pour frapper les utilisateurs iOS et Android avec des chaînes d'exploits zero-click, ne nécessitant aucune interaction de la part des victimes au-delà de la visite d'un site compromis ou falsifié. La société attribue l'opération, avec un niveau de confiance moyen à élevé, à APT29, également suivi sous le nom de Midnight Blizzard, le même groupe que Microsoft a relié à la brèche SolarWinds et à une série d'attaques récentes via le Wi-Fi d'hôtels.

Les attaques de type watering hole fonctionnent en compromettant des sites qu'un public cible est susceptible de visiter, plutôt qu'en attaquant directement les cibles. Cette approche est pertinente ici car elle permet à un acteur étatique disposant de ressources importantes de déployer un filet large et de laisser les victimes venir à l'exploit, au lieu d'envoyer un lien de phishing qu'une cible pourrait reconnaître et éviter. Selon Sekoia, la campagne a combiné trois tactiques distinctes : la compromission de sites web réels, la création de domaines similaires imitant des sites légitimes, et le détournement discret d'un script d'analyse web largement utilisé.

Comment fonctionnait la chaîne d'exploits

Le code JavaScript injecté sur les pages piégées identifiait d'abord le type d'appareil et la version du navigateur de chaque visiteur. Un serveur de commande et contrôle envoyait ensuite une chaîne d'exploits adaptée à cette plateforme. Sur iOS 16.7, les attaquants ont enchaîné CVE-2025-43529 et CVE-2024-27834 pour dérober les cookies de Safari. Sur iOS 18.5, une chaîne plus longue — CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 et CVE-2025-43520 — récupérait les bases de données WhatsApp et Telegram, les identifiants du Trousseau (Keychain), les données de localisation et les photos. Sur Chrome pour Android, dans les versions 139 à 145 (à l'exception de la 143), CVE-2026-3910 et CVE-2025-27038 ont été associés à un outil que Sekoia appelle AndroSnitch pour voler les cookies, les identifiants enregistrés, l'historique de navigation et les identifiants Wi-Fi sauvegardés.

Toutes ces failles sont dites « n-day » : des vulnérabilités pour lesquelles un correctif existait déjà, mais qui restent exploitables sur tout appareil n'ayant pas installé la dernière mise à jour de sécurité. CVE-2025-43529 en particulier est liée au kit d'exploitation « DarkSword », documenté pour la première fois en mars 2026 et utilisé, selon les rapports, par plusieurs acteurs malveillants depuis au moins novembre 2025.

Sites compromis et un rebondissement dans la chaîne d'approvisionnement

La campagne a visé un mélange de cibles réelles et factices. Sekoia a identifié des sites légitimes directement compromis, dont un producteur de gaz ukrainien, une association professionnelle de l'industrie chimique américaine, et un site lié au secteur militaire en Bulgarie. Par ailleurs, les attaquants ont créé des domaines similaires usurpant le site officiel de l'anniversaire America250 et l'hôtel Raffles London à The OWO, reproduisant le contenu des sites réels via un dispositif d'adversaire du milieu (adversary-in-the-middle), de sorte que les visiteurs ne remarquaient aucune différence.

L'action la plus lourde de conséquences fut la compromission de la chaîne d'approvisionnement de Plerdy, un fournisseur ukrainien d'analyse web. Les attaquants ont modifié son script de suivi SEO entre fin août et début septembre, et le code altéré s'est chargé sur des milliers de sites intégrant le traqueur Plerdy, la grande majorité situés en Ukraine.

Et maintenant ?

Aucune des charges utiles n'a établi de persistance sur les appareils infectés, ce qui signifie qu'un simple redémarrage suffisait à stopper l'activité, jusqu'à ce que l'utilisateur revisite un site compromis. Apple et Google ont depuis corrigé toutes les vulnérabilités exploitées, y compris des rétroportages pour les anciennes versions d'iOS. Les conclusions de Sekoia, rapportées pour la première fois par Bill Toulas sur BleepingComputer, confirment un schéma déjà signalé par les chercheurs en sécurité : les groupes liés à des États réutilisent de plus en plus des exploits initialement développés par des fournisseurs commerciaux de logiciels espions, transformant des failles « n-day » pourtant corrigées en armes efficaces contre quiconque néglige de mettre à jour ses appareils.

Pour la plupart des utilisateurs, la conclusion pratique est simple : installer les mises à jour de sécurité iOS et Android dès qu'elles sont disponibles, car toutes les failles utilisées dans cette campagne disposent d'un correctif. Les organisations qui intègrent des scripts d'analyse ou de suivi tiers devraient également les considérer comme faisant partie de leur surface d'attaque, et non comme un simple outil marketing : la compromission de Plerdy montre comment un fournisseur de confiance peut devenir un canal de distribution de logiciels malveillants à travers des milliers de sites sans lien entre eux.