APT29 : un script d'analytics piraté pour infecter des téléphones

Il n'a pas fallu de faille inédite, ni de clic sur une pièce jointe. Pour atteindre des téléphones, les attaquants ont piraté un simple script d'analytics, chargé en arrière-plan par des milliers de sites web.

Le 4 novembre 2026, l'éditeur français Sekoia a publié son analyse d'une campagne baptisée « Poisoned Source ». Il l'attribue, avec une confiance modérée à élevée, au groupe d'espionnage russe APT29, également connu sous le nom de Midnight Blizzard.

Ce que l'on sait

D'après le rapport de Sekoia et les articles qui le reprennent :

• Découverte : Sekoia a repéré l'opération à la mi-octobre 2026.
• Trois voies d'infection en parallèle : des sites légitimes compromis, des domaines imitant des sites connus, et une attaque par la chaîne d'approvisionnement visant Plerdy, un service ukrainien d'analytics web.
• Le script empoisonné : entre le 27 août et le 3 septembre 2026, du code malveillant a été injecté dans le fichier de suivi de Plerdy. Ce script est chargé par des milliers de sites, en grande majorité ukrainiens. Chaque visiteur chargeait donc à la fois le script légitime et celui des attaquants.
• Le tri des victimes : le code injecté relevait les caractéristiques du navigateur et de l'appareil, puis l'infrastructure des attaquants choisissait une chaîne d'exploitation adaptée, pour iOS ou pour Android.
• Des failles déjà corrigées : toutes les vulnérabilités utilisées avaient déjà été corrigées par Apple et Google. Seuls les appareils non mis à jour étaient exposés.
• Les données visées : selon Sekoia, les cookies, les mots de passe Wi-Fi et des données de l'appareil. TechRepublic évoque aussi des mots de passe et des messages.
• Pas de persistance : Sekoia n'a pas observé de mécanisme permettant au code malveillant de survivre sur l'appareil.
• Des outils réutilisés : Sekoia estime qu'APT29 a probablement obtenu ces exploits auprès d'un tiers, et souligne que des groupes étatiques réutilisent des frameworks d'exploitation mobile conçus par des éditeurs commerciaux de surveillance.

Le même jour, l'agence américaine CISA a ajouté l'une des failles Apple de cette chaîne, la CVE-2024-27834, à son catalogue des vulnérabilités activement exploitées. TechRepublic précise que la CISA n'a pas attribué elle-même cette exploitation à APT29.

Pourquoi cette campagne concerne toutes les entreprises

On pourrait n'y voir qu'une affaire d'espionnage autour de l'Ukraine. Ce serait passer à côté de l'essentiel. Trois enseignements valent pour toute organisation qui a un site web et des collaborateurs équipés de smartphones.

1. Chaque script tiers exécute du code chez vos visiteurs. Analytics, publicité, chat, cartes de chaleur, consentement : un site moderne charge souvent des dizaines de scripts hébergés ailleurs. Vous ne contrôlez ni leur code, ni la sécurité de leur éditeur. S'il est compromis, c'est votre site qui sert l'attaque, avec votre réputation en première ligne.

2. Une faille corrigée n'est pas une faille fermée. Les correctifs existaient. L'attaque a fonctionné sur les appareils qui ne les avaient pas installés. Sur une flotte mobile, l'écart entre la sortie d'un correctif et son installation effective est souvent le vrai point faible.

3. Le téléphone est un poste de travail à part entière. Messagerie, sessions cloud, authentification forte : un smartphone compromis donne accès à beaucoup plus que des photos. Le vol de cookies de session permet en particulier de contourner une partie des protections d'authentification.

Les réflexes à adopter cette semaine

Pour vos sites web :

• Inventorier tous les scripts tiers chargés par vos pages, et retirer ceux qui ne servent plus.
• Restreindre les sources autorisées avec une politique de sécurité du contenu (CSP) stricte, et utiliser l'intégrité des sous-ressources (SRI) quand le script a une version fixe.
• Vérifier si vos sites chargeaient Plerdy pendant la période du 27 août au 3 septembre 2026.

Pour votre flotte mobile :

• Imposer une version minimale d'iOS et d'Android via votre outil de gestion des appareils (MDM), avec blocage des accès pour les appareils en retard.
• Mettre à jour Chrome et les navigateurs mobiles au même rythme que le système.

Pour votre supervision :

• Comparer les journaux de votre proxy et de votre DNS aux indicateurs de compromission publiés par Sekoia.
• Surveiller les domaines qui imitent le vôtre ou ceux de vos partenaires.

Notre regard

Lors de nos tests d'intrusion d'applications web, les scripts tiers font partie des éléments que nous examinons systématiquement : origine, nécessité, droits et protections en place. C'est souvent une surface oubliée, parce qu'elle a été ajoutée par le marketing et non par l'équipe technique. Nos audits offensifs sont réalisés à 100 % manuellement, sans IA.

Les éléments présentés ici proviennent du rapport de Sekoia et de la presse spécialisée. L'attribution à APT29 est celle de Sekoia, avec le niveau de confiance qu'il indique.

Si vous voulez savoir ce que chargent réellement vos sites, et si votre flotte mobile résisterait à ce type de campagne, contactez-nous.