Des sites infectés dérobent cookies et mots de passe sur des smartphones pas à jour, les chercheurs désignent le renseignement russe
L'agence américaine de cybersécurité CISA inscrit désormais une ancienne faille de l'iPhone utilisée dans l'attaque sur sa liste des vulnérabilités activement exploitées.
La société française de sécurité Sekoia a découvert à la mi-octobre une vaste campagne dans laquelle des sites web légitimes servaient à attaquer les visiteurs équipés d'un iPhone ou d'un appareil Android. Sekoia attribue l'opération, avec un degré de confiance moyen à élevé, à APT29, un groupe de pirates lié au SVR, le service russe de renseignement extérieur. Du code malveillant a été inséré dans les sites infectés, dont ceux d'une entreprise gazière ukrainienne, d'une association professionnelle américaine de la chimie et d'une organisation militaire bulgare. Des domaines imitant des sites connus, dont celui d'un hôtel de luxe londonien, ont aussi été utilisés.
Selon Help Net Security, un service d'analyse ukrainien, Plerdy, a également été compromis pendant une semaine fin août, si bien que des milliers de sites, surtout ukrainiens et parmi eux des sites liés à l'armée, ont chargé le script malveillant. Un script identifie d'abord l'appareil du visiteur, puis lui envoie une chaîne d'attaque adaptée, sans la moindre action de l'utilisateur. Sur d'anciens iPhone, des cookies ou des données étendues comme les messages, les photos et les mots de passe wifi ont été dérobés; sur Android, notamment des identifiants enregistrés.
Toutes les failles exploitées avaient déjà été corrigées, de sorte que les appareils dotés du logiciel le plus récent ne sont pas vulnérables, souligne Sekoia. L'agence américaine de cybersécurité CISA a ajouté mercredi l'une des failles de l'iPhone, corrigée par Apple dès mai 2024, à sa liste des vulnérabilités activement exploitées, rapporte The Hacker News. Les administrations fédérales doivent y remédier d'ici le 18 novembre.