Los usuarios móviles que visitan sitios web comprometidos o portales falsificados han estado expuestos a ataques capaces de robar datos sin que se requiera ninguna interacción adicional. En un informe del 4 de noviembre, BleepingComputer describió los hallazgos de Sekoia, que mostraban cómo los atacantes seleccionaban exploits según el software iOS o Android de los visitantes, poniendo en riesgo las credenciales del navegador y, en algunos dispositivos, mensajes privados y fotos.
Los ataques aprovechaban vulnerabilidades conocidas para las que Apple y Google ya han publicado parches. Sekoia atribuyó la operación, con un grado de confianza moderado a alto, al grupo ruso APT29, también conocido como Midnight Blizzard.
Los sitios web se convirtieron en vías de distribución
La campaña llegó a los visitantes a través de sitios web de gran perfil en Estados Unidos, Ucrania, la República Checa y Bulgaria. Combinó un ataque de abrevadero (watering hole), que consiste en comprometer sitios que los objetivos previstos podrían visitar, con dominios que se hacían pasar por destinos legítimos.
Entre las organizaciones comprometidas figuraban una productora de gas ucraniana, una asociación comercial estadounidense de la industria química y un sitio web bulgaro relacionado con el ámbito militar. Los sitios falsos tomaron prestadas las identidades del portal oficial de America250 y del hotel Raffles London at The OWO. Reproducían contenido de los sitios auténticos, colocando al atacante entre el visitante y el destino legítimo, en un esquema de intermediario (adversary-in-the-middle).
Una ruta aparte amplió la posible exposición: Sekoia descubrió que los atacantes habían vulnerado al proveedor ucraniano de analítica web Plerdy y modificado su SEO tracker, un componente utilizado para el seguimiento de la optimización en buscadores. Miles de sitios web, en su mayoría ucranianos, cargaron ese rastreador entre el 27 de agosto y el 3 de septiembre.
Cada ruta comenzaba con el mismo código de perfilado en JavaScript. Este comprobaba el dispositivo y la versión del navegador del visitante; después, un servidor controlado por el atacante suministraba la secuencia de exploits correspondiente. Se trataba de ataques n-day, es decir, que aprovechaban fallos divulgados previamente. Además, abrir la página no requería ninguna acción adicional del usuario para que se ejecutara la cadena de explotación.
Qué podía recopilar cada ataque
El análisis de Sekoia identificó distintas combinaciones de vulnerabilidades y objetivos de datos:
- En iOS 16.7, la cadena utilizaba CVE-2025-43529 junto con CVE-2024-27834 para apuntar a las cookies de Safari, es decir, a los datos que los sitios web almacenan en el navegador.
- En iOS 18.5, la cadena combinaba CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520. Su carga útil recopilaba bases de datos de WhatsApp y Telegram, credenciales del sistema de almacenamiento Keychain de Apple, información de ubicación y fotos.
- En Chrome para Android, versiones 139 a 145, excepto la 143, los atacantes utilizaron CVE-2026-3910 y CVE-2025-27038. La carga útil AndroSnitch recopilaba cookies de Chrome, información de inicio de sesión, historial de navegación y contraseñas WiFi guardadas.
Los investigadores también encontraron referencias a cuatro vulnerabilidades adicionales, en código inaccesible o en rutas de explotación alternativas. Esos fallos no estaban presentes en las cadenas que analizaron.
Una de las vulnerabilidades, CVE-2025-43529, también se ha asociado con el kit de explotación DarkSword. Ese kit se documentó por primera vez en marzo y ha sido utilizado por varios grupos de amenazas en ataques que se remontan, al menos, a noviembre de 2025.
Sekoia basó su evaluación sobre APT29 en la infraestructura compartida con actividad anterior, en similitudes con las operaciones de abrevadero previas del grupo y en un sitio web comprometido que un socio había vinculado a una campaña de APT29 en 2025. BleepingComputer también señaló que el grupo había sido vinculado recientemente con ataques a redes WiFi de hoteles.
Reiniciar interrumpe la actividad; las actualizaciones corrigen los fallos
Sekoia comprobó que ninguna de las cargas útiles de la campaña mantenía la persistencia, es decir, la capacidad de sobrevivir a un reinicio del dispositivo. Por tanto, reiniciar detiene la actividad maliciosa, pero una nueva visita a un sitio comprometido puede volver a exponer el dispositivo.
BleepingComputer informó de que Apple y Google han parcheado todas las vulnerabilidades utilizadas en la campaña, incluso mediante actualizaciones para versiones antiguas de iOS. Los usuarios deben instalar las últimas actualizaciones de seguridad disponibles para sus dispositivos.
