APT29 : campagne de watering hole ciblant iOS et Android via des exploits n-day

Sat, 07 Nov 2026 00:00:00 +0100

🔍 Contexte

En octobre 2026, l’équipe Threat Detection & Research (TDR) de Sekoia a publié une analyse technique détaillée d’une campagne de watering hole à grande échelle attribuée avec un niveau de confiance modéré à élevé à APT29 (alias Midnight Blizzard, Cozy Bear, The Dukes), intrusion set russe lié au SVR (Service de renseignement extérieur de la Fédération de Russie).

🎯 Vecteurs d’infection

Trois vecteurs d’infection ont été identifiés :

Compromission directe de sites légitimes : injection JavaScript dans des templates de sites (entreprise gazière ukrainienne, association industrielle américaine, parti politique européen, site militaire bulgare)
Approche AiTM-like : enregistrement de domaines sosies agissant comme reverse proxies (ex: america250[.]holiday imitant america250.org, theowo[.]club imitant le Raffles London at The OWO)
Compromission de la supply chain : injection malveillante dans le tracker analytics ukrainien Plerdy (a.plerdy[.]com) entre le 27 août et le 3 septembre 2026, exposant des milliers de sites ukrainiens dont des sites militaires et de défense

🧩 Script de fingerprinting : UltimateFingerprinter

Le script JavaScript malveillant (5b4c8fea5cbcee273e8d830f52-temfp.js), nommé UltimateFingerprinter par les attaquants, est intégré dans une version minifiée d’AngularJS (2,3 Mo). Il collecte 394 champs de configuration du navigateur et de l’appareil (canvas, WebGL, capteurs, API modernes, etc.) et les transmet à un endpoint de livraison qui retourne un exploit adapté à la plateforme détectée.

CVE-2024-27833 on CyberVeille

APT29 : campagne de watering hole ciblant iOS et Android via des exploits n-day

🔍 Contexte

🎯 Vecteurs d’infection

🧩 Script de fingerprinting : UltimateFingerprinter