Cyberespionnage: la Russie soupçonnée d'être à l'origine d'une nouvelle campagne visant à extraire les données de smartphones en piégeant des sites web

La Russie aurait donc encore frappé dans l'univers cyber. Une campagne de cyberespionnage visant des téléphones portables a été documentée et attribuée au Kremlin par l'entreprise française de cybersécurité Sekoia, qui a publié mercredi un rapport sur le sujet. Elle indique avoir repéré une campagne destinée "à voler les cookies de navigateur et, dans certains cas, les mots de passe Wifi ou l'intégralité des données" sur des téléphones portables.

Ces cyberattaques étaient fondées sur la technique du "point d'eau", qui consiste à piéger un site web pour atteindre les internautes. Les attaquants en ont ciblé une dizaine appartenant à des entreprises américaines ou encore à un parti d'extrême droite "pour venir y injecter un code malveillant", détaille à l'AFP Amaury-Jacques Garçon, analyste en cybermenace chez Sekoia. Ils ont également créé des sites malveillants, qui imitaient des sites légitimes, notamment en dupliquant celui d'un hôtel britannique situé en face du ministère de la Défense.

"Le groupe d'intrusion a peut-être cherché à cibler des délégations diplomatiques et des invités de premier plan", souligne Sekoia. Extraire des données "sans laisser de traces" Au total, le groupe d'attaquants a mené son opération avec trois vecteurs d'infection, le premier étant l'injection directe de code Javascript sur des sites légitimes. Il a également misé sur des noms de domaine de type "attaque de l'homme du milieu" (au cours de laquelle un acteur malveillant s'insère discrètement entre deux interlocuteurs, NDLR).

Enfin, il s'en est pris à un opérateur ukrainien dont les traqueurs sont utilisés dans "des milliers de sites web, dont la grande majorité sont ukrainiens". Dans les trois cas, le résultat était le même, à savoir l'injection d'un code changeant un script (programme informatique) externe afin de profiler le navigateur et l'appareil du visiteur du site web. Le serveur d'hébergement y déployait alors des chaînes d'exploitation (combinaison de failles), sans que l'utilisateur ne fasse quoi que ce soit.

Parmi elles figurait notamment Darksword, suite d'outils permettant de pirater des iPhone. Le groupe d'intrusion est ainsi parvenu à extraire les cookies ou l'intégralité des données de smartphones d'Apple. Dans le cas des smartphones Android, ce sont les données Chrome et les mots de passe Wifi qu'ils ont récupérés.

Le tout, "sans laisser de traces", insiste Sekoia. Plusieurs milliers de personnes concernées "Pour estimer le nombre d'utilisateurs finaux qui auraient été touchés par cette campagne, c'est un peu compliqué, ça dépend vraiment du trafic de chaque site", explique Amaury-Jacques Garçon, qui évoque "plusieurs milliers" de personnes potentiellement touchées. Les attaques utilisaient des failles cyber sur d'anciennes versions d'applications mobiles.