Hackers rusos usan exploits de cero clics para atacar iOS y Android a través de sitios secuestrados

Investigadores de seguridad de Sekoia afirman que un grupo de hackers respaldado por el estado ruso llevó a cabo una campaña de «watering hole» a gran escala para atacar a usuarios de iOS y Android con cadenas de exploits de cero clics, que no requerían ninguna interacción por parte de las víctimas más allá de visitar un sitio web comprometido o falso. La firma atribuye la operación, con un nivel de confianza medio-alto, a APT29, también conocido como Midnight Blizzard, el mismo grupo que Microsoft ha vinculado a la brecha de SolarWinds y a una serie de ataques recientes a través de Wi-Fi de hoteles.

Los ataques de watering hole funcionan comprometiendo sitios que es probable que visite el público objetivo, en lugar de atacar directamente a las víctimas. Este enfoque es relevante aquí porque permite a un actor estatal con amplios recursos lanzar una red extensa y dejar que las víctimas lleguen al exploit, en vez de enviar un enlace de phishing que el objetivo podría reconocer y evitar. Según Sekoia, la campaña combinó tres tácticas distintas: comprometer sitios web legítimos, crear dominios falsos muy similares a los originales y secuestrar discretamente un script de analítica web ampliamente utilizado.

Cómo funcionaba la cadena de exploits

El código JavaScript inyectado en las páginas trampa identificaba primero el tipo de dispositivo y la versión del navegador de cada visitante. Un servidor de mando y control enviaba después una cadena de exploits específica para esa plataforma. En iOS 16.7, los atacantes encadenaron CVE-2025-43529 y CVE-2024-27834 para robar cookies de Safari. En iOS 18.5, una cadena más larga —CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520— extraía bases de datos de WhatsApp y Telegram, credenciales del Keychain, datos de ubicación y fotos. En Chrome para Android, en las versiones 139 a 145 (excepto la 143), se combinaron CVE-2026-3910 y CVE-2025-27038 con una herramienta que Sekoia denomina AndroSnitch para robar cookies, credenciales guardadas, historial de navegación y contraseñas de Wi-Fi guardadas.

Todas estas son vulnerabilidades «n-day»: fallos para los que ya existía un parche disponible, pero que siguen funcionando contra cualquier dispositivo que no haya instalado la última actualización de seguridad. CVE-2025-43529, en particular, está vinculada al kit de exploits «DarkSword», documentado por primera vez en marzo de 2026 y, según se informa, utilizado por varios actores de amenazas desde al menos noviembre de 2025.

Sitios comprometidos y un giro en la cadena de suministro

La campaña atacó una combinación de objetivos reales y falsos. Sekoia encontró sitios legítimos comprometidos directamente, entre ellos una productora de gas ucraniana, una asociación comercial del sector químico de EE. UU. y un sitio vinculado a asuntos militares en Bulgaria. Por separado, los atacantes crearon dominios falsos que suplantaban al sitio oficial del aniversario America250 y al hotel Raffles London en The OWO, replicando el contenido real mediante un esquema de adversario en el medio (adversary-in-the-middle), de modo que los visitantes no notaban ninguna diferencia.

La maniobra más consecuente fue un compromiso en la cadena de suministro de Plerdy, un proveedor ucraniano de analítica web. Los atacantes modificaron su script de seguimiento SEO entre finales de agosto y principios de septiembre, y el código alterado se cargó en miles de sitios web que integran el rastreador de Plerdy, la gran mayoría ubicados en Ucrania.

Qué sigue ahora

Ninguna de las cargas útiles estableció persistencia en los dispositivos infectados, lo que significa que un simple reinicio detenía la actividad hasta que el usuario volvía a visitar un sitio comprometido. Apple y Google ya han parcheado todas las vulnerabilidades explotadas, incluidas versiones retroportadas para versiones anteriores de iOS. Los hallazgos de Sekoia, reportados inicialmente por Bill Toulas en BleepingComputer, confirman un patrón que los investigadores de seguridad ya habían señalado antes: los grupos vinculados a estados reutilizan cada vez más exploits creados originalmente por proveedores comerciales de spyware, convirtiendo fallos «n-day» ya parcheados en armas efectivas contra cualquiera que se retrase en actualizar sus dispositivos.

Para la mayoría de los usuarios, la conclusión práctica es sencilla: instalar las actualizaciones de seguridad de iOS y Android en cuanto estén disponibles, ya que todas las vulnerabilidades usadas en esta campaña cuentan con un parche. Las organizaciones que integran scripts de analítica o seguimiento de terceros también deben tratarlos como parte de su superficie de ataque, no solo como una herramienta de marketing: el compromiso de Plerdy demuestra cómo un único proveedor de confianza puede convertirse en un canal de distribución de malware a través de miles de sitios sin relación entre sí.