L’entreprise française de cybersécurité Sekoia a mis au jour une vaste campagne de cyberespionnage. Au nom de code Poisoned Source, elle est attribuée au groupe russe APT29, également connu sous les noms de Cozy Bear ou Midnight Blizzard.
Cette opération ciblait les utilisateurs de smartphones Android et iOS en exploitant des vulnérabilités déjà corrigées pour exfiltrer des données. Les attaquants ont utilisé une technique de » watering hole » pour piéger les visiteurs de sites web à fort trafic ou d’intérêt stratégique.
Une stratégie à plusieurs volets pour diffuser du code malveillant
Les attaquants ont directement injecté du code JavaScript dans des sites web légitimes, comme celui d’une grande entreprise gazière ukrainienne ou d’un parti politique européen.
Ils ont aussi créé des sites miroirs imitant des plateformes à haute visibilité. Par exemple, le domaine america250[.]holiday se faisait passer pour le site officiel du 250e anniversaire de l’indépendance américaine. Un autre site factice, theowo[.]club, dupliquait le portail d’un hôtel de luxe londonien situé à proximité de lieux sensibles du gouvernement britannique.
Une autre méthode consistait en une attaque par la chaîne d’approvisionnement, où les attaquants ont compromis le service d’analyse web ukrainien Plerdy SEO Tracker. Un script malveillant a ainsi été propagé à des milliers de sites clients, majoritairement ukrainiens.
Quels outils et failles étaient au cœur de l’attaque ?
Une fois qu’un utilisateur visitait un site piégé, le script JavaScript profilait son appareil pour déterminer s’il s’agissait d’un iPhone ou d’un appareil Android, ainsi que sa version de système d’exploitation.
Si l’appareil était jugé vulnérable, une chaîne d’exploits était déployée sans aucune interaction de l’utilisateur. Ces failles de sécurité, bien que déjà corrigées par Apple et Google, restaient efficaces contre les appareils non mis à jour.
Pour les appareils iOS, les attaquants ont notamment utilisé DarkSword. Selon la version d’iOS, la charge utile pouvait voler les cookies du navigateur ou, dans les cas les plus graves, exfiltrer davantage de données de l’appareil (SMS, iMessages, mots de passe Wi-Fi, photos, etc.).
Avec Android, une charge utile nommée AndroSnitch était exploitée pour dérober les données de Google Chrome et les mots de passe Wi-Fi enregistrés.
L’ombre de la Russie plane
L’attribution de cette campagne à APT29, une unité suspectée d’appartenir au service des renseignements extérieurs de la Russie, repose sur plusieurs éléments.
La victimologie correspond aux intérêts stratégiques russes, avec un focus sur l’Ukraine, les États-Unis et des entités politiques européennes. En outre, des chevauchements techniques avec des opérations antérieures attribuées à APT29 ont été identifiés.