Contexte de l'attaque
Des chercheurs de Sekoia ont identifié une campagne où des acteurs, attribués avec une confiance « modérée à élevée » aux services de renseignement étrangers russes, ont ciblé les visiteurs de plusieurs sites web, dont america250.org (célébrant le 250e anniversaire de la Constitution américaine) et theowo.club (proxifiant un hôtel londonien fréquenté par des responsables gouvernementaux). Les attaquants ont enregistré des domaines similaires (america250.holiday, theowo.club) et les ont utilisés comme reverse proxy, injectant du JavaScript malveillant dans le trafic légitime.
Chaîne d'exploitation technique
Le vecteur initial repose sur des failles déjà corrigées sur iOS et Android. Bien que les correctifs aient été publiés, les victimes n’avaient pas appliqué les mises à jour, ce qui a permis l’exécution de code JavaScript sur le navigateur. Le script collecte d’abord des informations d’identification du dispositif (modèle, version du système, paramètres réseau) puis, selon le système détecté, délivre un chargeur spécifique. Sur iOS, le chargeur tente d’extraire les cookies du navigateur Safari ; sur Android, il vise également les mots de passe Wi‑Fi stockés et, dans certains cas, l’ensemble des données du téléphone.
Analyse des vecteurs et des limites
Cette méthode s’appuie sur deux points faibles classiques : la persistance de vulnérabilités non appliquées et la confiance accordée aux scripts exécutés dans le contexte d’un site légitime. Le recours à un reverse proxy masque l’origine du code, contournant les contrôles de liste blanche basés sur le domaine. Cependant, l’attaque nécessite que l’utilisateur active JavaScript et visite explicitement le site compromis, ce qui limite la portée aux profils de navigation exposés. De plus, les systèmes d’exploitation modernes intègrent des mécanismes d’isolation (sandboxing, CSP) qui peuvent réduire la surface d’attaque si les correctifs sont installés.
Implications et contre‑mesures
Pour les utilisateurs, la priorité reste la mise à jour immédiate des appareils afin de fermer les failles déjà corrigées. Les administrateurs de sites doivent renforcer leurs enregistrements DNS, désactiver les proxys non autorisés et appliquer des politiques de sécurité du contenu (Content‑Security‑Policy) afin de limiter l’injection de scripts tiers. Au niveau des navigateurs, le désactivation du JavaScript pour les sites non fiables ou l’usage d’extensions de blocage de scripts peut réduire le risque. Enfin, la communauté de renseignement doit surveiller les domaines de proxy similaires, car ils constituent un indicateur précoce de campagnes d’influence liées à des événements géopolitiques.
