🔍 Contexte

En octobre 2026, l’Ă©quipe Threat Detection & Research (TDR) de Sekoia a publiĂ© une analyse technique dĂ©taillĂ©e d’une campagne de watering hole Ă  grande Ă©chelle attribuĂ©e avec un niveau de confiance modĂ©rĂ© Ă  Ă©levĂ© Ă  APT29 (alias Midnight Blizzard, Cozy Bear, The Dukes), intrusion set russe liĂ© au SVR (Service de renseignement extĂ©rieur de la FĂ©dĂ©ration de Russie).

🎯 Vecteurs d’infection

Trois vecteurs d’infection ont Ă©tĂ© identifiĂ©s :

  • Compromission directe de sites lĂ©gitimes : injection JavaScript dans des templates de sites (entreprise gaziĂšre ukrainienne, association industrielle amĂ©ricaine, parti politique europĂ©en, site militaire bulgare)
  • Approche AiTM-like : enregistrement de domaines sosies agissant comme reverse proxies (ex: america250[.]holiday imitant america250.org, theowo[.]club imitant le Raffles London at The OWO)
  • Compromission de la supply chain : injection malveillante dans le tracker analytics ukrainien Plerdy (a.plerdy[.]com) entre le 27 aoĂ»t et le 3 septembre 2026, exposant des milliers de sites ukrainiens dont des sites militaires et de dĂ©fense

đŸ§© Script de fingerprinting : UltimateFingerprinter

Le script JavaScript malveillant (5b4c8fea5cbcee273e8d830f52-temfp.js), nommĂ© UltimateFingerprinter par les attaquants, est intĂ©grĂ© dans une version minifiĂ©e d’AngularJS (2,3 Mo). Il collecte 394 champs de configuration du navigateur et de l’appareil (canvas, WebGL, capteurs, API modernes, etc.) et les transmet Ă  un endpoint de livraison qui retourne un exploit adaptĂ© Ă  la plateforme dĂ©tectĂ©e.

💣 ChaĂźnes d’exploitation

Trois chaĂźnes d’exploitation ont Ă©tĂ© identifiĂ©es, toutes basĂ©es sur des vulnĂ©rabilitĂ©s n-day (dĂ©jĂ  patchĂ©es) :

Classe A – Vol de cookies iOS (iOS 16.7) :

  • CVE-2025-43529 (RCE WebContent, issu du kit DarkSword)
  • CVE-2024-27834 (bypass PAC)
  • Exfiltration des cookies vers ad.starx-net[.]com:8881/telemetry/v12

Classe B – Exfiltration complùte iOS (iOS 18.5) – kit DarkSword :

  • CVE-2025-43529 (RCE)
  • CVE-2026-20700 (bypass PAC)
  • CVE-2025-14174 + CVE-2025-43510 (sandbox escape)
  • CVE-2025-43520 (Ă©lĂ©vation de privilĂšges / kernel r/w)
  • Collecte : SMS, iMessage, Mail, Voicemail, WhatsApp, Telegram, Keychain, Wi-Fi PSK, contacts, calendrier, photos, iCloud Drive, localisation

Classe C – Vol de cookies Chrome et Wi-Fi Android (Chrome 139-145 sauf 143) :

  • CVE-2026-3910 (RCE renderer Chrome)
  • CVE-2025-27038 (escape sandbox via driver Adreno)
  • Payload final : AndroSnitch (libexploit.so) collectant cookies Chrome, Login Data, historique, WifiConfigStore.xml
  • Exfiltration via libcurl vers ad.starx-net[.]com:8881/telemetry/v12

đŸ—ïž Infrastructure

Domaine Type IPv4 ASN
static.flux-telemetry[.]com Livraison 109.104.106.107 AS395092 Shock Hosting
edge-ord.clouds-stacks[.]com Livraison 95.133.231.28 AS219399 servinga GmbH
ad.starx-net[.]com Exfiltration 195.58.140.105 AS395092 Shock Hosting
america250[.]holiday AiTM 192.121.46.25 AS9009 EDIS GmbH
theowo[.]club AiTM 188.190.17.232 AS57169 EDIS GmbH

đŸ•”ïž Attribution

L’attribution Ă  APT29 repose sur : recoupements techniques avec une campagne 2025 attribuĂ©e Ă  APT29, confirmation par Google TAG de similaritĂ©s avec la campagne 2024 contre des sites gouvernementaux mongols, rĂ©utilisation du framework DarkSword (CSV), victimologie centrĂ©e sur l’Ukraine et l’Europe, et patterns d’infrastructure cohĂ©rents avec les opĂ©rations passĂ©es d’APT29.

📄 Nature de l’article

Il s’agit d’une publication de recherche technique approfondie produite par l’Ă©quipe TDR de Sekoia, visant Ă  documenter les TTPs, l’infrastructure et les chaĂźnes d’exploitation d’une campagne APT active, et Ă  partager des IOCs avec les CERTs et partenaires concernĂ©s.

🧠 TTPs et IOCs dĂ©tectĂ©s

Acteurs de menace

TTP

  • T1189 — Drive-by Compromise (Initial Access)
  • T1195.002 — Compromise Software Supply Chain (Initial Access)
  • T1557 — Adversary-in-the-Middle (Collection)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1203 — Exploitation for Client Execution (Execution)
  • T1404 — Exploit OS Vulnerability (Privilege Escalation)
  • T1539 — Steal Web Session Cookie (Credential Access)
  • T1552.001 — Credentials In Files (Credential Access)
  • T1005 — Data from Local System (Collection)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
  • T1027 — Obfuscated Files or Information (Defense Evasion)
  • T1592 — Gather Victim Host Information (Reconnaissance)
  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1584.004 — Compromise Infrastructure: Server (Resource Development)

IOC

  • IPv4 : 109.104.106.107 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 95.133.231.28 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 195.58.140.105 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 192.121.46.25 — AbuseIPDB · VT · ThreatFox
  • IPv4 : 188.190.17.232 — AbuseIPDB · VT · ThreatFox
  • Domaines : static.flux-telemetry.com — VT · URLhaus · ThreatFox
  • Domaines : edge-ord.clouds-stacks.com — VT · URLhaus · ThreatFox
  • Domaines : ad.starx-net.com — VT · URLhaus · ThreatFox
  • Domaines : america250.holiday — VT · URLhaus · ThreatFox
  • Domaines : theowo.club — VT · URLhaus · ThreatFox
  • Domaines : ads-it-assets.com — VT · URLhaus · ThreatFox
  • Domaines : cdn.adv-static.com — VT · URLhaus · ThreatFox
  • Domaines : wpvortex-mod.com — VT · URLhaus · ThreatFox
  • Domaines : assets-int.com — VT · URLhaus · ThreatFox
  • Domaines : adsprism-stat.com — VT · URLhaus · ThreatFox
  • URLs : https://static.flux-telemetry.com/module/5b4c8fea5cbcee273e8d830f52-temfp.js — URLhaus
  • URLs : https://edge-ord.clouds-stacks.com/module/5b4c8fea5cbcee273e8d830f52-temfp.js — URLhaus
  • URLs : https://ad.starx-net.com:8881/telemetry/v12 — URLhaus
  • SHA256 : a7d2493df00565c21587b0cad2a9fe7ca1e5590acf796da6e499be0ffde44cc3 — VT · MalwareBazaar
  • SHA256 : bee3e014e3df87ddce0250b0985b87f6868a427a7b650a74b7ffedb9d57f3088 — VT · MalwareBazaar
  • SHA256 : c170fda024183645c0aa681149304e50506509c3498bb6b9a5f5ced6aa73e5fa — VT · MalwareBazaar
  • SHA256 : 2ffb35e3f9e55286a930fb887e73764a913166648135fe0ca7551736d97d7bfa — VT · MalwareBazaar
  • SHA256 : 69b6cb327a4d5da99399718f6a66f84de69f89425b0a31f2dcee0682f811596f — VT · MalwareBazaar
  • SHA256 : 29d283ebd08d0cd3b2e6f4a67718d3d6e7a6be01d0613d716bce218dba57a928 — VT · MalwareBazaar
  • SHA256 : 06c17b31d36838f3d29044784aa047d5c2d9174d3356c1211cf25f9df677445f — VT · MalwareBazaar
  • SHA256 : 183d62d682aea8018491c8559544e8d6a9ab0e1abd05ecbb6c97daa4f438d2b8 — VT · MalwareBazaar
  • SHA256 : 387a7fb768db1350a9788d9704e7a72abe07152734e0ff026af72b417e36268c — VT · MalwareBazaar
  • SHA256 : 35c0cd19a7334b544c193e392bcd9a8f1d1f43cf6b61be5bf1d9e35537aff2ef — VT · MalwareBazaar
  • SHA256 : 621112712ec515e8791129c62feda8fff6654a0116882401609503cacc08054a — VT · MalwareBazaar
  • SHA256 : ae3241d96cc2d99538c7aff60f382cc8dac13859bcbea3ee84992d24d22a8108 — VT · MalwareBazaar
  • SHA256 : 41e6fd33a30d36dabff9ea408d9766a6583edcc107968f6dc1499f2586381967 — VT · MalwareBazaar
  • CVEs : CVE-2025-43529 — NVD · CIRCL
  • CVEs : CVE-2024-27834 — NVD · CIRCL
  • CVEs : CVE-2024-27808 — NVD · CIRCL
  • CVEs : CVE-2024-27833 — NVD · CIRCL
  • CVEs : CVE-2026-20700 — NVD · CIRCL
  • CVEs : CVE-2025-14174 — NVD · CIRCL
  • CVEs : CVE-2025-43510 — NVD · CIRCL
  • CVEs : CVE-2025-43520 — NVD · CIRCL
  • CVEs : CVE-2025-31277 — NVD · CIRCL
  • CVEs : CVE-2025-24201 — NVD · CIRCL
  • CVEs : CVE-2026-3910 — NVD · CIRCL
  • CVEs : CVE-2025-27038 — NVD · CIRCL
  • Fichiers : 5b4c8fea5cbcee273e8d830f52-temfp.js
  • Fichiers : libexploit.so
  • Fichiers : sms.db
  • Fichiers : Cookies.binarycookies
  • Fichiers : WifiConfigStore.xml
  • Fichiers : wifi_passwords.txt
  • Fichiers : Accounts3.sqlite
  • Chemins : /private/var/mobile/Containers/Data/Application/<UUID>/Library/Cookies/Cookies.binarycookies
  • Chemins : /var/mobile/Cookies/
  • Chemins : /data/data/com.android.chrome/app_chrome/Default/Cookies
  • Chemins : /data/data/com.android.chrome/app_chrome/Default/Login Data
  • Chemins : /data/data/com.android.chrome/app_chrome/Default/History
  • Chemins : /data/misc/apexdata/com.android.wifi/WifiConfigStore.xml
  • Chemins : /data/misc/apns/0/WifiConfigStore.xml

⚠ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vĂ©rification externe. Un indicateur peut avoir Ă©tĂ© rĂ©attribuĂ© depuis : une IP de C2 peut redevenir un service lĂ©gitime, un domaine sinkholĂ© peut changer de propriĂ©taire. Aucune garantie d’exactitude ni d’actualitĂ© — contrĂŽlez leur validitĂ© avant tout usage opĂ©rationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • DarkSword (framework)
  • UltimateFingerprinter (tool)
  • AndroSnitch (tool)

🟱 Indice de vĂ©rification factuelle : 80/100 (haute)

  • ⬜ sekoia.com — source non rĂ©fĂ©rencĂ©e (0pts)
  • ✅ 33630 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 57 IOCs dont des hashes (15pts)
  • ✅ 6/12 IOCs confirmĂ©s (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
  • ✅ 15 TTPs MITRE identifiĂ©es (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifiĂ©(s) : APT29 (5pts)
  • ✅ 5/5 CVE(s) confirmĂ©e(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 109.104.106.107 (ip) → VT (5/92 dĂ©tections)
  • 95.133.231.28 (ip) → VT (4/92 dĂ©tections)
  • 195.58.140.105 (ip) → VT (6/92 dĂ©tections)
  • static.flux-telemetry.com (domain) → VT (17/92 dĂ©tections)
  • edge-ord.clouds-stacks.com (domain) → VT (14/92 dĂ©tections)

🔗 Source originale : https://www.sekoia.com/blog/poisoned-source-apt29-watering-holes-targets-mobile-devices-with-n-day-exploits?utm_source=substack&utm_medium=email