Des pirates liés à la Russie ont infecté des iPhone et Android via des sites piratés

Des pirates liés à la Russie ont infecté des iPhone et des smartphones Android par le biais de sites web ordinaires : sur un téléphone pas à jour, il suffisait d'ouvrir une page piégée, sans rien toucher ni télécharger. Les chercheurs de la société française de sécurité Sekoia, qui ont repéré la campagne mi-octobre, l'attribuent avec « une confiance modérée à élevée » à APT29, un groupe lié au renseignement russe et également connu sous le nom de Midnight Blizzard, selon leur rapport publié le 4 novembre. Toutes les failles exploitées avaient déjà été corrigées par Apple et Google avant le début de la campagne : les victimes sont donc des personnes qui n'avaient pas mis à jour leur téléphone.

De vrais sites comme appât

Ce type d'attaque s'appelle un « point d'eau » (watering hole) : au lieu d'envoyer un lien piégé, les pirates attendent leurs cibles sur des sites qu'elles visitent de toute façon. Sekoia a trouvé du code malveillant injecté sur les sites d'un producteur de gaz ukrainien, d'une association professionnelle américaine de l'industrie chimique, d'un site bulgare à thématique militaire, d'un parti politique européen d'extrême droite, d'un mouvement tchèque d'extrême droite et d'une clinique médicale australienne.

Les attaquants ont aussi monté des copies de deux vrais sites, qui relayaient le contenu original. L'une imitait America250, le site officiel des célébrations du 250e anniversaire des États-Unis. L'autre copiait le site de l'hôtel Raffles London at The OWO ; selon Sekoia, elle visait des délégations diplomatiques et des invités de haut rang.

Le filet le plus large est venu d'une attaque de la chaîne d'approvisionnement. Du 27 août au 3 septembre, le script de suivi du service ukrainien d'analyse web Plerdy a été modifié pour charger le code des attaquants. Selon Sekoia, ce script tourne sur « des milliers de sites, en grande majorité ukrainiens » : quiconque a ouvert l'un d'eux depuis un téléphone vulnérable cette semaine-là a pu être exposé.

Ce que l'attaque prenait sur les téléphones

Un script sur la page relevait d'abord l'empreinte de l'appareil et du navigateur, puis le serveur des attaquants envoyait une chaîne d'exploits adaptée au téléphone. Sekoia décrit trois chaînes :

• iOS 16 et premières versions d'iOS 17 : vol des cookies de Safari et des applications, qui peuvent permettre d'entrer dans un compte sans mot de passe.
• iOS 18.5 : presque tout : SMS, iMessage, messages WhatsApp et Telegram, mots de passe du trousseau, e-mails, contacts, historique des appels, notes, données de localisation, données Santé, photos et fichiers iCloud Drive.
• Android, Chrome versions 139 à 145 (sauf 143) : cookies et identifiants enregistrés de Chrome, historique de navigation et mots de passe Wi-Fi enregistrés.

La chaîne iOS 18 recoupe DarkSword, un kit d'exploits pour iPhone que Google, iVerify et Lookout ont décrit en mars et que plusieurs groupes, dont des vendeurs de logiciels espions, utilisent depuis au moins novembre 2025. Sekoia estime que les exploits proviennent probablement du kit d'un fournisseur commercial de surveillance.

Aucune des charges ne s'installait durablement sur le téléphone : un redémarrage met fin à l'infection jusqu'à la prochaine visite d'une page piégée, note BleepingComputer. Mais les données copiées avant le redémarrage sont déjà parties.

Qui était visé

APT29 s'en prend d'ordinaire aux gouvernements, aux diplomates et à la défense, et la liste des sites correspond à ce profil. Sekoia écrit toutefois qu'« il reste difficile de dire » si les pirates visaient les visiteurs de sites précis ou simplement n'importe quel téléphone non corrigé à leur portée. Contrairement à une campagne similaire d'APT29 en 2024, celle-ci n'avait aucun filtre et récupérait les cookies de n'importe quel navigateur. Ses opérateurs cherchent sans cesse de nouvelles portes d'entrée : en août, Microsoft a signalé qu'un sous-groupe du même groupe détournait les pages de connexion Wi-Fi d'hôtels pour diffuser un logiciel malveillant déguisé en mise à jour du navigateur.

Comment protéger votre téléphone

• Installez la dernière mise à jour d'iOS ou d'Android. Selon Sekoia, « un utilisateur dont le système d'exploitation est à jour est à l'abri de ces attaques ». Si votre iPhone ne reçoit plus la dernière version d'iOS, installez la dernière mise à jour qu'Apple propose pour lui : certains correctifs ont été reportés sur d'anciennes versions.
• Sur Android, mettez Chrome à jour séparément dans Google Play, car l'attaque commence dans le navigateur.
• Si votre téléphone n'était pas à jour et que vous avez consulté des sites ukrainiens fin août ou début septembre, déconnectez toutes les sessions de vos principaux comptes et changez vos mots de passe importants : les cookies volés restent valables tant que vous ne l'avez pas fait.
• Un redémarrage met fin à cette infection précise, mais il ne corrige pas les failles et ne récupère pas les données volées : il ne remplace pas la mise à jour.
• Un VPN n'aide pas ici : le code malveillant arrive depuis de vrais sites par des connexions chiffrées ordinaires, et un VPN ne change que le trajet de votre trafic.
• Journalistes, fonctionnaires et militants ont intérêt à activer le mode Isolement (Lockdown Mode) sur leur iPhone. Apple a récemment averti des députés allemands que leurs téléphones avaient été visés par un logiciel espion.