Une campagne d'espionnage ciblant les systèmes Android et iOS

Facebook login screen with username and password fields — Zulfugar Karimov / Unsplash

Des chercheurs ont révélé une vaste opération d'espionnage ciblant les utilisateurs d'Android et d'iOS. Cette campagne exploite des failles de sécurité pour voler des informations personnelles sans nécessiter l'interaction de la victime. Les preuves recueillies indiquent que le groupe russe APT29 est à l'origine de ces attaques.

L'opération repose sur une technique dite du trou d'eau, qui consiste à injecter du code malveillant dans des sites web fréquemment visités par les cibles. Les sites compromis appartiennent à des entreprises, des institutions militaires et des agences gouvernementales situées en Ukraine, en Bulgarie, en République tchèque et aux États-Unis. Les attaquants ont déployé trois vecteurs d'infection distincts : des sites web compromis, des sites contrefaits et des chaînes d'approvisionnement.

Dans le premier cas, un script JavaScript est inséré dans la page d'accueil pour télécharger un logiciel malveillant qui analyse le système d'exploitation de l'appareil. Le deuxième vecteur utilise une attaque de type adversaire au milieu pour intercepter le trafic via un proxy inverse. Le troisième vecteur implique l'installation d'une version compromise de l'outil Plerdy SEO Tracker.

Trois chaînes d'exploitation distinctes ont été utilisées pour compromettre les appareils. La première cible iOS en exploitant les failles CVE-2025-43529 et CVE-2024-27834 pour voler les cookies du navigateur Safari. La deuxième chaîne, également sur iOS, exploite cinq failles pour exfiltrer des messages, des SMS, des e-mails, des contacts, des identifiants, des historiques d'appels, des cookies, des données de localisation et des photos. La troisième chaîne cible Android via le navigateur Chrome en utilisant les failles CVE-2026-3910 et CVE-2025-27038 pour voler des cookies, des historiques et des mots de passe Wi-Fi.

Ces attaques ne créent pas de persistance sur les systèmes compromis. Un simple redémarrage de l'appareil suffit à interrompre l'activité des logiciels malveillants. Les utilisateurs sont vivement encouragés à installer les dernières mises à jour de sécurité de leurs systèmes d'exploitation et de leurs navigateurs pour se protéger.