Faille Apple de 2024 : APT29 l'exploite, la CISA alerte

Une faille Apple corrigée en mai 2024 refait surface dans une campagne d'espionnage. L'agence américaine de cybersécurité (CISA) a ajouté le 4 novembre la vulnérabilité CVE-2024-27834 à son catalogue des failles activement exploitées (KEV). Cette inscription fait suite au rapport publié le même jour par l'éditeur français Sekoia, qui attribue à APT29 une campagne visant les smartphones dont les mises à jour n'ont pas été faites. Le message est simple : un appareil à jour n'est pas concerné, un appareil oublié l'est.

Une faille ancienne, une exploitation récente

La CVE-2024-27834 permet à un attaquant disposant déjà de capacités de lecture et d'écriture arbitraires en mémoire de contourner Pointer Authentication, un mécanisme de protection des processeurs d'Apple. Notée 5,5 sur l'échelle CVSS, elle n'est pas dangereuse seule : elle sert de maillon dans une chaîne d'exploitation.

Apple l'a corrigée en mai 2024 dans iOS et iPadOS 17.5 et 16.7.8, macOS Sonoma 14.5, tvOS 17.5, watchOS 10.5 et Safari 17.5. La CISA demande aux administrations fédérales américaines d'appliquer les correctifs avant le 18 novembre 2026.

Trois chaînes d'exploitation selon l'appareil

D'après Sekoia, qui dit avoir découvert la campagne mi-octobre, les attaquants servaient un code JavaScript chargé de profiler l'appareil du visiteur, puis de lancer la chaîne adaptée :

• iOS 16.7 : la CVE-2024-27834 est combinée à une faille WebKit, CVE-2025-43529, pour voler les cookies du navigateur ;
• iOS 18.5 : une chaîne plus complète, que Sekoia rattache à l'outil DarkSword, vise les messages, l'historique d'appels, le trousseau, la localisation ou les photos ;
• Android : sur Chrome 139 à 145 (hors 143), une chaîne dépose un programme que Sekoia nomme AndroSnitch, qui récupère cookies, identifiants enregistrés, historique et mots de passe Wi-Fi.

Toutes les failles utilisées étaient déjà corrigées avant le début de la campagne. Sekoia précise qu'un appareil entièrement à jour n'est pas affecté.

Sites piégés et chaîne d'approvisionnement

Trois vecteurs ont servi à attirer les victimes. D'abord, des sites légitimes compromis aux États-Unis, en Ukraine, en République tchèque et en Bulgarie. Ensuite, des domaines d'imitation relayant de vrais sites, dont celui des 250 ans des États-Unis et celui d'un hôtel de luxe londonien proche de bâtiments gouvernementaux. Enfin, la compromission entre le 27 août et le 3 septembre 2026 du script d'analyse d'audience de Plerdy, un outil ukrainien chargé par des milliers de sites, en majorité ukrainiens.

Sekoia attribue la campagne à APT29, groupe aussi appelé Midnight Blizzard ou Cozy Bear et lié aux services de renseignement extérieur russes, avec un degré de confiance « modéré à élevé ».

Ce qu'il faut faire

Pour les particuliers comme pour les flottes d'entreprise, la priorité est d'identifier les appareils restés sur d'anciennes versions d'iOS ou de Chrome. Les iPhone qui ne peuvent plus passer à la dernière version doivent au moins recevoir la dernière mise à jour de leur branche, comme iOS 18.7.11 pour les iPhone XS et XR. Côté Android, Chrome doit être maintenu à jour, ce que rappelait aussi la sortie de Chrome 156.

Les responsables de sites web ont aussi une leçon à retenir : un script tiers d'analyse ou de marketing peut devenir un point d'entrée. Recenser ces scripts et limiter ceux qui sont autorisés à s'exécuter réduit l'exposition des visiteurs.