Android et iPhone : une page piégée peut suffire, les correctifs existent
Une page web peut cacher autre chose qu’un formulaire trompeur : dans une enquête publiée le 4 novembre et relayée par 01net, Sekoia décrit une campagne visant des smartphones Android et des iPhone non à jour. Les attaquants ont compromis des sites légitimes, créé des imitations et détourné un service de statistiques web ukrainien pour faire charger du code malveillant, sans téléchargement ni autorisation supplémentaire après la visite.
Une opération d’espionnage, pas une alerte généralisée
L’enquête porte sur des sites aux États-Unis, en Ukraine, en Tchéquie et en Bulgarie, avec notamment des visiteurs susceptibles d’intéresser le renseignement dans le contexte de la guerre en Ukraine, sans établir que les particuliers seraient tous épargnés.
Sekoia attribue cette opération avec un niveau de confiance modéré à élevé à APT29, un groupe largement associé au service de renseignement extérieur de la Russie.
Sur certains appareils Android vulnérables, la chaîne combine des failles de Chrome et d’un pilote graphique Qualcomm pour dérober notamment des cookies de navigation et des mots de passe Wi-Fi.
Sur iPhone, les chaînes observées visent différentes anciennes versions d’iOS, avec un vol de cookies ou une collecte plus large de données selon le cas.
Ces cookies ne sont pas anodins : ils peuvent permettre de réutiliser une session déjà ouverte et d’accéder à des services comme une messagerie.
Les mises à jour font ici la différence
La limite décisive est précisée par Sekoia : toutes les chaînes analysées exploitent des vulnérabilités connues et déjà corrigées, et ne fonctionnent pas contre des appareils entièrement à jour. Sur Android, il faut donc maintenir Chrome à jour depuis le Play Store et installer les correctifs système proposés par le fabricant, car mettre à jour le navigateur seul ne couvre pas toute la chaîne. Sur iPhone, installer la dernière mise à jour d’iOS proposée et activer les mises à jour automatiques est le réflexe utile contre ces attaques connues, sans constituer une garantie contre toutes les menaces.