Le script d'analyse Plerdy détourné pour servir des exploits mobiles

Comment c'est arrivé

Du code injecté dans le script de suivi de Plerdy entre le 27 août et le 3 septembre 2026. Les téléphones des visiteurs étaient identifiés, puis recevaient des chaînes d'exploits reposant uniquement sur des failles connues et déjà corrigées. La manière dont Plerdy a été compromis n'est pas publique.[1][2] Vérifié le 7 nov. 2026

Ce qui a été volé

Selon Sekoia, les charges finales récupèrent les cookies ou toutes les données de l'appareil sur iPhone, et les données de Chrome et les mots de passe Wi-Fi sur Android. Ce qui a été pris aux visiteurs de Plerdy en particulier n'est pas public.[1] Vérifié le 7 nov. 2026

Qui est touché

Les visiteurs des milliers de sites chargeant le traceur, surtout ukrainiens, dont des sites de l'armée, des forces spéciales et d'équipement militaire. D'autres sites compromis : un producteur de gaz ukrainien, une association américaine de la chimie et un site militaire bulgare.[1][3] Vérifié le 7 nov. 2026

Acteur

APT29 →

CVE

CVE-2025-43529, CVE-2024-27834, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520, CVE-2026-3910, CVE-2025-27038

Chronologie

1. 27 août 2026Entre le 27 août et le 3 septembre, des attaquants injectent du code dans le traceur de Plerdy, chargé par des milliers de sites, surtout ukrainiens. [1][2]
2. 4 nov. 2026Sekoia publie « Poisoned Source » et attribue la campagne à APT29 avec une confiance moyenne à élevée. Aucune chaîne n'utilise de zero-day. [1]
3. 4 nov. 2026BleepingComputer cite d'autres sites compromis en Ukraine, aux États-Unis et en Bulgarie. [3]
4. 4 nov. 2026La CISA ajoute CVE-2024-27834, le contournement de l'authentification de pointeurs d'Apple utilisé dans la chaîne iOS 16.7 décrite par Sekoia, à son catalogue des failles exploitées. Les agences fédérales américaines doivent corriger avant le 18 novembre 2026. [1][4]