Sekoia estime, avec un niveau de confiance modéré à élevé, qu’APT29 ou l’un de ses sous-groupes a mené une campagne visant des navigateurs mobiles sous iOS et Android. Décrite dans un rapport publié le 4 novembre 2026, l’opération utilisait des sites compromis et des pages imitant des sites légitimes pour distribuer des chaînes d’exploitation adaptées à certains appareils et à certaines versions. « Sans clic » signifie qu’aucune action supplémentaire n’était nécessaire après le chargement de la page, pas que chaque visite entraînait une infection, explique le rapport technique de Sekoia.
« Sans clic » décrit ce qui se passe après le chargement de la page : le serveur sélectionnait d’abord les appareils répondant à ses critères.
Comment les sites menaient aux chaînes d’exploitation
Sekoia décrit trois voies de diffusion : du code JavaScript injecté dans des sites légitimes compromis, des serveurs mandataires inverses qui imitaient des sites connus, et un script d’analyse de Plerdy modifié à des fins malveillantes. Une attaque dite « watering hole », ou « point d’eau », s’appuie sur des sites susceptibles d’être visités par les personnes visées.
Le traceur Plerdy a été compromis du 27 août au 3 septembre 2026. L’équipe de Sekoia dit avoir détecté l’opération à la mi-octobre, après avoir repéré du JavaScript malveillant sur le site d’une entreprise ukrainienne de production de gaz.
Avant de renvoyer une chaîne d’exploitation, le serveur examinait des caractéristiques du navigateur et de l’appareil. Le script UltimateFingerprinter réunissait 394 champs à l’aide de 61 collecteurs. Si le visiteur correspondait aux critères de ciblage et utilisait une version concernée, le navigateur pouvait recevoir l’exploit sans autre intervention de sa part.
Trois chaînes, des versions et des objectifs différents
Sekoia distingue deux chaînes iOS et une chaîne visant Chrome sur Android. Pour la première chaîne iOS, le filtre de distribution cité par Sekoia porte sur iOS 16.7 et 16.7.10. L’entreprise indique séparément que l’exploit pouvait fonctionner sous iOS 16.0 à 17.4 : cette compatibilité technique plus large ne signifie pas que le serveur distribuait l’exploit à toutes ces versions.
| Chaîne | Périmètre rapporté | CVE cités par Sekoia | Objectif rapporté |
| A, iOS | Filtre de distribution : iOS 16.7 et 16.7.10. Compatibilité indiquée pour l’exploit : iOS 16.0 à 17.4. | CVE-2025-43529 et CVE-2024-27834 | Vol de cookies du navigateur. |
| B, iOS, DarkSword | iOS 18.5. | CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 et CVE-2025-43520 | Collecte de données à l’échelle de l’appareil, notamment des messages, des identifiants enregistrés, des mots de passe Wi-Fi, des contacts, des historiques d’appels, des données de localisation et de santé, des photos et des fichiers iCloud Drive. |
| C, Android, AndroSnitch | Chrome 139 à 145, sauf la version 143. | CVE-2026-3910 et CVE-2025-27038 | Collecte de données Chrome, notamment les cookies, les identifiants et l’historique enregistrés, ainsi que des données de configuration Wi-Fi. |
Sekoia indique que la chaîne Android s’arrêtait si elle identifiait un Samsung Galaxy S25 Ultra (SM-S938B). Ce comportement concerne cette chaîne d’exploitation précise.
Des vulnérabilités déjà corrigées selon Sekoia
Sekoia affirme que les chaînes qu’elle a analysées reposaient sur des vulnérabilités connues, corrigées par leurs éditeurs avant la campagne : il ne s’agissait pas de failles « zero-day ». L’équipe n’a pas constaté de mécanisme de persistance dans ces chaînes, c’est-à-dire qu’elles n’établissaient pas de présence durable sur les appareils visés.
L’attribution à APT29 reste l’évaluation de Sekoia. L’équipe la fonde sur des recoupements techniques, des modes opératoires, les profils des cibles et l’infrastructure observée; elle estime que l’opération pourrait aussi relever d’un sous-groupe d’APT29.
