Le groupe APT29 piégerait des sites via Plerdy SEO Tracker pour viser les utilisateurs d'iOS et d'Android, selon Sekoia.

Le groupe russe APT29 serait à l’origine d’une vaste campagne visant les utilisateurs d’iOS et d’Android. Selon les chercheurs de Sekoia, l’opération repose notamment sur une attaque de la chaîne d’approvisionnement. Celle-ci passe par Plerdy SEO Tracker, un service ukrainien d’analyse web. Ainsi, les assaillants ont transformé un outil de mesure d’audience en vecteur de compromission.

Cette campagne illustre une tactique bien connue des acteurs étatiques. Elle consiste à piéger des sites légitimes pour atteindre des visiteurs précis. Voici donc ce que l’on sait à ce stade.

Une campagne de point d’eau attribuée à APT29

Les chercheurs décrivent une attaque dite de « point d’eau » (watering hole). Le principe est simple. En effet, plutôt que de viser directement une victime, l’attaquant compromet un site que celle-ci consulte déjà. Ensuite, il attend que les visiteurs arrivent d’eux-mêmes.

Dans ce cas, l’attribution à APT29 repose sur l’analyse menée par Sekoia. Les chercheurs Amaury-Jacques Garçon et ses collègues ont étudié le code injecté et l’infrastructure associée. Par ailleurs, le groupe est lié à la Russie.

L’opération ne se limite pas à un seul canal. En effet, trois leviers sont évoqués :

• des sites web légitimes compromis ;
• de faux domaines créés pour l’occasion ;
• une attaque de la chaîne d’approvisionnement visant un service d’analyse web.

Cette combinaison élargit fortement la surface d’exposition. Par conséquent, un internaute n’a pas besoin de visiter un site suspect pour être concerné.

Le rôle de Plerdy SEO Tracker dans la chaîne d’attaque

Le maillon le plus préoccupant reste Plerdy SEO Tracker. Il s’agit d’un service d’analyse web ukrainien. En général, ce type d’outil fonctionne grâce à un script intégré dans les pages d’un site. Autrement dit, chaque site utilisateur charge du code hébergé ou piloté par un tiers.

C’est précisément ce qui rend l’attaque efficace. Si le script du fournisseur est altéré, la modification se répercute sur tous les sites qui l’utilisent. En effet, les propriétaires de ces sites n’ont rien à modifier de leur côté. Pourtant, leurs visiteurs deviennent des cibles potentielles.

Cette approche présente un avantage évident pour l’attaquant. Il compromet un seul point et obtient un accès à de nombreux sites. De plus, le code malveillant se noie dans un script d’apparence banale. Les équipes web le considèrent souvent comme fiable.

Notons que les informations disponibles ne précisent pas ici la durée de la compromission. Elles ne détaillent pas non plus le nombre de sites touchés. Ces éléments devront donc être confirmés par les analyses complémentaires.

Ce que collecte le JavaScript injecté

Selon Sekoia, le code JavaScript injecté commence par un travail de reconnaissance. Il récupère des attributs du navigateur et de l’appareil du visiteur. Ainsi, ces données permettent d’identifier le système utilisé, qu’il s’agisse d’iOS ou d’Android.

Cette étape est classique dans les campagnes ciblées. D’abord, le script profile le visiteur. Ensuite, l’infrastructure décide s’il mérite d’être attaqué. Cette sélection limite le bruit et réduit le risque de détection. En outre, elle protège les outils d’exploitation, souvent coûteux à développer.

La campagne vise bien les appareils mobiles, d’après les chercheurs. Cependant, les identifiants CVE des failles éventuellement exploitées ne figurent pas dans les éléments dont nous disposons. Nous ne les citerons donc pas. Les lecteurs doivent suivre les publications de Sekoia et les bulletins de sécurité d’Apple et de Google. Ils y trouveront ces précisions.

Recommandations autour de Plerdy SEO Tracker

Face à ce type de menace, les mesures dépendent du profil de chacun. En effet, les administrateurs de sites et les utilisateurs finaux n’ont pas les mêmes leviers.

Pour les propriétaires de sites

• Vérifiez d’abord si vos pages chargent le script de Plerdy SEO Tracker.
• Dressez ensuite l’inventaire de tous les scripts tiers présents sur vos sites.
• Examinez également les journaux et le code servi pour repérer toute modification inattendue.
• Appliquez une politique de sécurité du contenu (CSP) restrictive pour limiter les connexions sortantes.
• Enfin, retirez les scripts d’analyse qui ne sont pas indispensables.

Pour les utilisateurs

• Installez sans attendre les mises à jour d’iOS et d’Android.
• Maintenez également votre navigateur à jour.
• Activez le mode Isolation sur iPhone si vous êtes exposé, par exemple en tant que journaliste, diplomate ou militant.
• Redoublez enfin de prudence avec les domaines inhabituels qui imitent des sites connus.

Ce qu’il faut retenir

• APT29, acteur lié à la Russie, serait derrière une campagne de point d’eau visant iOS et Android.
• En effet, l’attaque combine sites compromis, faux domaines et compromission de la chaîne d’approvisionnement.
• Le service ukrainien Plerdy SEO Tracker a servi de vecteur de distribution.
• Le JavaScript injecté collecte d’abord des attributs du navigateur et de l’appareil.
• Par conséquent, les mises à jour mobiles et le contrôle des scripts tiers restent les meilleures défenses.

Source : APT29-Linked Hackers Hijack Web Analytics Script to Deliver iOS and Android Exploits