L’entreprise française de cybersécurité Sekoia a révélé l’existence d’une vaste campagne d’espionnage informatique ciblée, baptisée « Poisoned Source ». Attribuée avec une confiance modérée à élevée au groupe d’intrusion russe APT29, réputé proche du service de renseignement extérieur (SVR), cette opération vise spécifiquement les utilisateurs de smartphones équipés de systèmes d’exploitation non mis à jour.

Découverte mi-octobre 2026 par l’équipe Threat Detection & Research (TDR) de Sekoia, la campagne s’appuie sur le piratage ou le clonage de sites web légitimes très fréquentés en Ukraine, aux États-Unis, en République tchèque et en Bulgarie. Les attaquants déploient des techniques sophistiquées de « watering hole » pour profiler les appareils avant d’exécuter des chaînes d’exploits ciblées.

Trois vecteurs majeurs pour infecter les visiteurs

Pour toucher un maximum de cibles sans éveiller les soupçons, le groupe APT29 a mis en place trois vecteurs d’infection distincts. Le premier repose sur l’injection directe de scripts JavaScript malveillants au sein de plateformes web légitimes. Le deuxième utilise des domaines de type « adversary-in-the-middle », simulant des sites officiels pour intercepter le trafic. Le troisième vecteur s’attaque directement à la chaîne d’approvisionnement logicielle.

Entre le 27 août et le 3 septembre 2026, les cyberespions ont réussi à compromettre le traqueur d’analyse web Plerdy (servi depuis le domaine a.plerdy[.]com). Ce composant tiers, intégré à des milliers de sites internet principalement ukrainiens, a distribué le code malveillant à l’ensemble des visiteurs durant une semaine complète, sans qu’aucune interaction utilisateur ne soit requise.

Chaque vecteur livre un code identique qui charge ensuite un script externe profilant minutieusement le navigateur et l’environnement matériel du système de la victime.

Des cibles diplomatiques, militaires et industrielles ciblées

Le choix des sites compromis confirme la dimension stratégique et géopolitique de la campagne. Parmi les victimes figurent une importante entreprise gazière ukrainienne, une association professionnelle américaine du secteur chimique, un parti politique européen d’extrême droite ainsi qu’un portail militaire bulgare.

Les pirates ont également enregistré le domaine d’imitation america250[.]holiday pour relayer le site officiel de la commission américaine America250. De même, le domaine theowo[.]club reprenait l’apparence du site de l’hôtel de luxe Raffles London at The OWO. Cet établissement londonien se situe à proximité directe de plusieurs institutions gouvernementales britanniques sensibles et a accueilli le président ukrainien Volodymyr Zelensky lors de son déplacement le 14 octobre 2026.

Cette méthode d’infiltration de composants critiques rappelle la vulnérabilité des réseaux modernes face aux attaques sophistiquées, à l’instar des solutions visant la protection des infrastructures stratégiques avec l’IA pour anticiper les intrusions complexes.

UltimateFingerprinter et les trois chaînes d’exploits

Au cœur du dispositif de collecte figure le script UltimateFingerprinter. Ce programme interroge 61 collecteurs de données distincts capables de générer 394 champs structurés au format JSON. Une fois le profil de l’appareil établi, les attaquants déploient l’une des trois chaînes d’exploits développées par le groupe selon la plateforme détectée.

Il convient de noter que l’exploitation sur Android interrompt immédiatement sa séquence d’attaque si l’appareil identifié est un Samsung Galaxy S25 Ultra, sans doute pour éviter la détection par des mécanismes de sécurité spécifiques ou pour restreindre le périmètre d’action.

Sekoia souligne que ces opérations s’appuient sur des vulnérabilités n-day déjà documentées et corrigées par les éditeurs. Ainsi, les appareils disposant des mises à jour de sécurité les plus récentes restent entièrement protégés contre ces attaques.

Attribution technique à APT29 et riposte des CERT

Pour attribuer cette campagne à APT29, Sekoia s’appuie sur des concordances techniques précises avec des opérations passées du groupe, l’analyse des victimes visées ainsi que la structure de l’infrastructure exploitée. Cette initiative d’investigation s’inscrit dans un contexte où les technologies avancées et l’intelligence artificielle jouent un rôle croissant dans la détection des menaces informatiques.

L’éditeur français, qui a déployé un SOC agentique auto-hébergé à destination des infrastructures d’importance vitale, collabore avec les équipes nationales de réponse aux incidents informatiques (CERT) des pays touchés pour neutraliser les relais des assaillants.

Foire aux questions (FAQ)

Un rappel critique sur la gestion des correctifs

L’analyse transmise par Sekoia montre l’efficacité constante des failles connues lorsque la politique de mise à jour des terminaux mobiles reste incomplète. L’application rigoureuse des correctifs fournis par Apple et Google demeure la défense la plus efficace contre les groupes d’intrusion étatiques.

Com informações de Portal de Notícias