Entrar en una web bastaba para robar el teléfono: Sekoia destapa «Poisoned Source», la campaña ligada a APT29 contra iOS y Android

Visitar una web bastaba. Sekoia, empresa francesa de ciberseguridad, ha publicado hoy «Poisoned Source»: una campaña a gran escala que inyectó código malicioso en sitios legítimos de EE. UU., Ucrania, República Checa y Bulgaria —una productora ucraniana de gas, la asociación estadounidense de la industria química, un sitio militar búlgaro— y clonó otros dos, el de America250 y el del hotel londinense Raffles, para servir exploits a sus visitantes sin que tocaran nada. Sekoia atribuye la operación, con confianza moderada a alta, a APT29, el grupo vinculado al servicio de inteligencia exterior ruso.

La vía más ancha fue la cadena de suministro. Entre el 27 de agosto y el 3 de septiembre, los atacantes comprometieron el rastreador de Plerdy, un servicio ucraniano de analítica que cargan miles de sitios, entre ellos páginas del ejército y de equipo militar. Esa semana, cada visita a cientos de esos sitios cargaba también el script del atacante: perfila el teléfono con 394 datos y pide la cadena de exploits que encaja con su sistema.

Hay tres cadenas, y ninguna usa un fallo nuevo. Contra iOS 16.7, dos vulnerabilidades ya parcheadas roban las cookies de Safari. Contra iOS 18.5, la más invasiva —con el kit DarkSword, atribuido a un vendedor comercial de vigilancia— encadena cinco fallos y se lleva mensajes, las bases de datos de WhatsApp y Telegram, las contraseñas del llavero, la ubicación, las fotos y datos de Salud. En Android, contra Chrome 139 a 145, AndroSnitch copia cookies, inicios de sesión, historial y contraseñas de Wi-Fi. Sin persistencia: reiniciar el teléfono corta la actividad hasta la próxima visita comprometida.

La defensa es sencilla: todos los fallos explotados ya estaban parcheados por Apple y Google antes de la campaña, también en iOS antiguos, así que un teléfono actualizado no es vulnerable. Es la definición de un ataque «n-day»: no quema vulnerabilidades nuevas, cosecha los dispositivos que se quedaron atrás. Sekoia se coordina con los CERT de los países afectados para identificar víctimas y desmontar la infraestructura.

Quedan dos incógnitas abiertas. No se sabe cuántos dispositivos se comprometieron —Sekoia no da cifra— ni si la intención era pescar a lo ancho o llegar a visitantes concretos de sitios estratégicos en plena guerra de Ucrania. Lo que sí demuestra «Poisoned Source» es el mercado que hay detrás: un grupo estatal reutilizando un kit comercial empaquetado, porque comprar la cadena sale más barato que desarrollarla.