Una campaña atribuida al espionaje ruso infectó iPhone y Android desactualizados con solo abrir una web

La empresa francesa de ciberseguridad Sekoia ha destapado una campaña de espionaje de gran escala que infectaba teléfonos iPhone y Android con solo visitar una página web, sin que la víctima pulsara ningún enlace ni descargara archivo alguno. La operación, detectada a mediados de octubre y atribuida con una confianza de moderada a alta al grupo APT29 -también conocido como Midnight Blizzard o Cozy Bear, vinculado por numerosos gobiernos y analistas al Servicio de Inteligencia Exterior de Rusia (SVR)-, aprovechaba vulnerabilidades ya corregidas por Apple y Google, por lo que los teléfonos actualizados quedaron fuera de su alcance.

Tres vías de infección

Según el informe técnico publicado por el equipo TDR de Sekoia el 4 de noviembre, los atacantes usaron tres vectores. El primero fue la inyección de código JavaScript en sitios web legítimos comprometidos. El segundo, la creación de dominios falsos que imitaban portales de alto perfil, como america250.org -la iniciativa por los 250 años de la independencia de Estados Unidos, suplantada con el dominio america250.holiday- o la web del hotel Raffles London at The OWO, junto al Ministerio de Defensa británico, donde el presidente ucraniano Volodímir Zelenski se alojó durante una visita el 14 de octubre, según el informe. El tercero fue un ataque a la cadena de suministro: la compromisión de Plerdy, un servicio ucraniano de analítica web usado por miles de sitios, lo que expuso a sus visitantes durante una semana.

El código inyectado perfilaba el navegador y el modelo de teléfono de cada visitante y un servidor de los atacantes servía después la cadena de explotación adecuada. Sekoia identificó tres cadenas completas: una contra iOS 16.7 para robar las cookies de Safari; otra contra iOS 18.5 basada en el kit DarkSword -que la firma sospecha desarrollado por un proveedor comercial de vigilancia- capaz de extraer mensajes, bases de datos de WhatsApp y Telegram, contraseñas del llavero de iCloud, ubicación y fotos; y una tercera contra Chrome en Android, versiones 139 a 145 salvo la 143, por motivos que los investigadores no logran explicar, que sustraía cookies, datos de inicio de sesión, historial y contraseñas de WiFi guardadas mediante el payload AndroSnitch.

El kit DarkSword fue subido a la plataforma VirusTotal en septiembre de 2026, lo que refuerza la sospecha de los investigadores de que procede del mercado comercial de vigilancia. En una de las webs comprometidas, los analistas hallaron además restos de código de la campaña de 2025 todavía inyectados, aunque ya inactivos, que Sekoia interpreta como restos no retirados de aquella operación o componentes antiguos inyectados por descuido.

Solo teléfonos sin actualizar

Las vulnerabilidades empleadas, entre ellas las CVE-2025-43529, CVE-2024-27834, CVE-2025-27038 y CVE-2026-3910, son lo que en el sector se conoce como n-days: fallos ya conocidos y parcheados por los fabricantes antes de que la campaña comenzara. «Un usuario con un sistema operativo al día está a salvo de estos ataques», subraya Sekoia en su informe. Además, el código malicioso no se instalaba de forma permanente: reiniciar el teléfono detenía la actividad hasta una nueva visita a un sitio comprometido, aunque los datos ya copiados no se recuperan con el reinicio.

La firma atribuye la campaña a APT29 por coincidencias técnicas, patrones operativos, infraestructura y perfil de víctimas, con sitios vinculados a la guerra de Ucrania entre los objetivos, y por rastros de una campaña anterior de 2025 atribuida al mismo grupo hallados en una de las webs comprometidas. El robo de cookies y sesiones apunta a objetivos de recolección de inteligencia, ya que permitiría reutilizar sesiones autenticadas y acceder a servicios como el correo web. Sekoia no ha precisado cuántos dispositivos fueron infectados y coordina con los CERT nacionales de los países afectados -Estados Unidos, Ucrania, Chequia y Bulgaria entre ellos- la identificación de víctimas y el desmantelamiento de la infraestructura.