Contexte de l'attaque
Des acteurs attribués au Service de renseignement extérieur russe ont organisé une campagne de compromission mobile en utilisant des sites de type watering‑hole et des domaines proxy. Une plateforme d’analyse ukrainienne, précédemment compromise, a servi de relais pour insérer du code JavaScript dans le trafic des appareils iOS et Android. Cette chaîne d’infrastructure a permis d’atteindre des utilisateurs sans interaction directe, ce qui correspond à une attaque zero‑click. La cible principale était constituée de sites associés aux cercles diplomatiques des États‑Unis, du Royaume‑Uni et de l’Ukraine.
Mécanisme d'injection et chaîne d'exploitation
Le vecteur initial repose sur l’injection de scripts JavaScript dans les pages web visitées depuis le navigateur mobile. Le script recueille des informations d’identification du navigateur, puis déclenche une série d’exploits en chaîne contre des vulnérabilités connues dans les versions obsolètes d’iOS et d’Android. Parmi les exploits répertoriés, le groupe a réutilisé le module DarkSword, capable de contourner les protections d’isolation d’applications. Chaque étape de la chaîne dépend de la présence d’une faille non corrigée, ce qui rend les appareils non mis à jour particulièrement vulnérables.
Cibles et données compromises
Les charges utiles déployées cherchaient à extraire plusieurs types de données : cookies de navigation, mots de passe Wi‑Fi stockés et, dans les cas les plus avancés, l’intégralité du système de fichiers du dispositif. La collecte de cookies permettait de prendre le contrôle de sessions web, tandis que les mots de passe Wi‑Fi facilitaient l’accès à des réseaux internes. L’accès complet au dispositif ouvre la porte à l’installation de logiciels espions supplémentaires, à l’enregistrement de communications et à la manipulation de données sensibles.
Analyse des risques et contre‑mesures
Cette opération montre que la combinaison d’infrastructures de compromission tierces et d’exploits zero‑click augmente la surface d’attaque même pour les utilisateurs qui ne cliquent jamais sur des liens malveillants. La dépendance aux versions logicielles obsolètes constitue le maillon le plus faible ; les mises à jour de sécurité régulières réduisent drastiquement la probabilité de succès. Du côté du réseau, le filtrage des domaines proxy et la surveillance du trafic DNS peuvent limiter l’exposition aux serveurs de commande et de contrôle. Enfin, la sécurisation des services d’analyse tiers, notamment par des audits de code et la segmentation des accès, diminue le risque de compromission en chaîne.
