Selon l’enquête de Sekoia, publiée le 4 novembre 2026 après la découverte de l’activité à la mi-octobre, Poisoned Source utilisait trois voies pour acheminer des chaînes d’exploitation vers certaines configurations d’iOS et d’Android. Une visite d’une page touchée suffisait : aucun clic supplémentaire ni téléchargement n’était nécessaire.

Trois voies pour atteindre les mobiles

Sekoia décrit du JavaScript injecté dans des sites légitimes, des sites leurres agissant comme des mandataires inverses et modifiant le code HTML des pages, ainsi que le détournement du traceur d’analyse web de Plerdy. Dans chaque cas, le code malveillant cherchait à reconnaître l’appareil et le navigateur afin de déterminer si une chaîne d’exploitation pouvait être envoyée.

Le script de collecte, baptisé UltimateFingerprinter, utilisait 61 collecteurs pour réunir 394 champs dans une empreinte numérique. Les contrôles observés qui pouvaient bloquer la livraison portaient sur la largeur et la hauteur de l’écran ainsi que sur le nombre de points de contact tactiles : des valeurs jugées invraisemblables pouvaient empêcher la suite de l’attaque. Sekoia n’a trouvé aucun indice que la plupart des autres champs aient influé sur la livraison des exploits ou aient été réutilisés plus tard dans la chaîne.

Les chaînes iOS et Android rapportées

Sekoia distingue trois classes d’exploitation. Les versions indiquées ne forment pas une frontière générale de vulnérabilité : pour la chaîne iOS 16, l’analyse distingue la configuration résumée, la capacité technique décrite et le filtre appliqué par le serveur.

  • Classe A, iOS : le tableau récapitulatif de Sekoia indique iOS 16.7. Son analyse technique précise que la chaîne pouvait fonctionner sous iOS 16.0 à 17.4, tandis que le serveur de livraison sélectionnait iOS 16.7 et 16.7.10. Elle exploitait CVE-2025-43529 et CVE-2024-27834 et cherchait à voler des cookies de navigateur ou d’applications.
  • Classe B, iOS 18.5 : cette chaîne utilisait CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 et CVE-2025-43520. Elle visait notamment les messages, les courriels et les messages vocaux, les bases de données de messageries, les identifiants et jetons d’accès, les données Wi-Fi, les contacts, l’historique d’appels, le calendrier, les notes, des caches liés à la localisation et des médias.
  • Classe C, Android : la cible était Chrome 139 à 145, à l’exception de la version 143. La chaîne exploitait CVE-2026-3910 et CVE-2025-27038. La charge utile AndroSnitch cherchait des cookies, identifiants enregistrés et historiques Chrome, ainsi que des données de configuration Wi-Fi et des mots de passe Wi-Fi mémorisés. Sekoia indique que la chaîne s’arrêtait si elle détectait le modèle SM-S938B.
Pour les chaînes décrites, l’installation des correctifs concernés est le levier concret : Sekoia indique qu’elles exploitaient des failles déjà corrigées.

L’exposition du traceur Plerdy ne chiffre pas les appareils compromis

Sekoia situe la compromission du traceur de Plerdy entre le 27 août et le 3 septembre 2026. Le traceur était chargé par des milliers de sites, majoritairement ukrainiens ; Sekoia décrit aussi des centaines de sites légitimes exposés. Ces chiffres portent sur des sites. Sekoia indique que le nombre d’appareils effectivement compromis reste inconnu.

L’attribution et les correctifs selon Sekoia

Sekoia attribue la campagne à APT29, ou à l’un de ses sous-groupes, avec un niveau de confiance modéré à élevé. Son évaluation s’appuie sur des similitudes techniques, des modes opératoires, les victimes visées et l’infrastructure utilisée.

Les trois chaînes reposaient sur des vulnérabilités connues et corrigées, et non sur des failles zero-day. Sekoia indique qu’elles ne fonctionnaient pas sur des appareils entièrement à jour. Les charges observées n’établissaient pas de persistance ; un redémarrage peut arrêter des processus actifs, mais ne peut annuler un vol de données déjà effectué.