Una campaña atribuida al grupo ruso APT29 usa vulnerabilidades ya corregidas para espiar iPhone y Android con solo visitar un sitio comprometido (Fuente: BleepingComputer).
La firma de ciberseguridad Sekoia publicó un informe que atribuye a APT29, también conocido como Midnight Blizzard, una operación de tipo «watering hole»: los atacantes comprometen sitios legítimos o crean copias falsas, y desde ahí lanzan exploits contra quien los visita. Según BleepingComputer, los exploits se ejecutan sin interacción adicional del usuario, aunque la víctima sí tiene que entrar a la página.
Cómo funciona el ataque
- La víctima visita un sitio comprometido o falso.
- Un script en JavaScript identifica el dispositivo y la versión del navegador.
- El servidor de comando y control envía la cadena de exploits adecuada para esa plataforma.
Qué buscaban robar
- iOS 16.7: cookies de Safari (CVE-2025-43529 y CVE-2024-27834).
- iOS 18.5: bases de datos de WhatsApp y Telegram, credenciales del Llavero, ubicación y fotos, mediante cinco vulnerabilidades.
- Chrome para Android 139 a 145 (excepto 143): cookies, datos de inicio de sesión, historial y credenciales WiFi guardadas (CVE-2026-3910 y CVE-2025-27038), con una herramienta llamada AndroSnitch.
Entre los sitios comprometidos hay una empresa ucraniana de gas, una asociación comercial estadounidense de la industria química y un sitio búlgaro vinculado a temas militares. También se detectaron dominios falsos que imitaban el sitio de America250 y el del hotel Raffles London en The OWO. Además, el servicio ucraniano de analítica Plerdy fue comprometido entre el 27 de agosto y el 3 de septiembre.
Qué hacer
Apple y Google ya corrigieron todas las fallas usadas, incluso con parches para versiones antiguas de iOS. La recomendación es instalar las últimas actualizaciones de seguridad del sistema y del navegador. Según Sekoia, las cargas no establecían persistencia: reiniciar el dispositivo corta la actividad, hasta una nueva visita a un sitio comprometido.
Qué no está confirmado
El informe no precisa cuántos dispositivos fueron afectados ni cuántos ataques tuvieron éxito. La atribución a APT29 se hace con confianza «moderada a alta», no es definitiva.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.
Descubre más desde
Suscríbete y recibe las últimas entradas en tu correo electrónico.