Campaña atribuida a Rusia infecta iPhone y Android desactualizados

Una campaña atribuida al grupo APT29, vinculado al Servicio de Inteligencia Exterior de Rusia, infectó teléfonos iPhone y Android con solo abrir sitios web comprometidos, según la empresa de seguridad Sekoia¹.

El ataque, detectado a mediados de octubre, aprovechó fallas ya corregidas en ambos sistemas operativos y no requería interacción adicional del usuario más allá de visitar el sitio¹.

Lo que había pasado: En una nota previa se reportó que hackers asociados al Kremlin explotaron vulnerabilidades ya parchadas en iOS y Android para infectar teléfonos de visitantes a sitios web, incluyendo uno relacionado con el 250 aniversario de la independencia de EE.UU. (Hackers vinculados al Kremlin usaron fallas en iOS y Android para ataques dirigidos)

Cómo funcionó el ataque y a quiénes afectó

Sekoia identificó que los atacantes inyectaron código JavaScript en sitios legítimos comprometidos, crearon dominios falsos que imitaban páginas conocidas y aprovecharon la vulnerabilidad de un servicio ucraniano de análisis de tráfico web utilizado por miles de sitios¹.

Al abrir uno de estos sitios, el código identificaba el modelo del teléfono y la versión del navegador, y enviaba una cadena de explotación diseñada para iPhone o Android, permitiendo tomar control del aparato sin que el usuario pulsara enlaces ni descargara archivos¹.

Los atacantes buscaban robar cookies del navegador, contraseñas de WiFi, datos completos del equipo y, en algunos casos, mensajes de texto, bases de datos de WhatsApp y Telegram, contraseñas del llavero de iCloud, ubicación y fotos¹.

Qué dispositivos fueron vulnerables y cómo protegerse

Las fallas explotadas ya habían sido corregidas por Apple y Google antes de que comenzara la campaña, por lo que solo los teléfonos que no estaban totalmente actualizados eran vulnerables¹.

Sekoia afirmó que 'un usuario con un sistema operativo al día está a salvo de estos ataques'¹. Reiniciar el teléfono detenía la actividad maliciosa, aunque los datos ya copiados antes del reinicio no se recuperan¹.

La empresa no precisó cuántos dispositivos fueron infectados y coordina con equipos nacionales de respuesta a incidentes para identificar a las víctimas y desactivar la infraestructura de los atacantes¹.

Cadenas de ataque detectadas y sitios imitados

Sekoia identificó tres cadenas de ataque: una dirigida a iPhone con iOS 16.7, que robaba cookies de Safari; otra contra iOS 18.5, que extraía mensajes, bases de datos de aplicaciones de mensajería, contraseñas y ubicación, usando herramientas del conjunto DarkSword; y una tercera para Android con versiones de Chrome de la 139 a la 145 (excepto la 143), que robaba cookies, historial y contraseñas de WiFi¹.

Entre los sitios imitados estaban america250.org, vinculado al 250 aniversario de la independencia de Estados Unidos, y el del hotel Raffles London at The OWO, cercano a dependencias del gobierno británico¹.

Preguntas frecuentes

¿Cómo puedo saber si mi iPhone o Android está desactualizado y vulnerable?

Un teléfono es vulnerable solo si no tiene el sistema operativo actualizado. Para saberlo, revisa en la configuración del dispositivo si hay actualizaciones pendientes de iOS o Android, y aplica todas las disponibles¹.

¿Qué medidas puedo tomar para proteger mi teléfono de este tipo de ataques?

Mantén el sistema operativo y el navegador actualizados. Sekoia señala que los dispositivos al día no son vulnerables a esta campaña. Reiniciar el teléfono detiene la actividad maliciosa, pero no recupera los datos ya copiados¹.

¿Qué es un ataque de explotación vía JavaScript en sitios web?

Es un ataque en el que un código JavaScript malicioso, inyectado en una página web, identifica el modelo y versión del teléfono y envía una cadena de explotación que aprovecha fallas de seguridad para tomar control del dispositivo sin interacción adicional del usuario¹.

¿Cómo identificar sitios web seguros para evitar infecciones en mi teléfono?

Evita abrir enlaces de fuentes desconocidas y verifica que los sitios web sean legítimos. Algunos ataques usan dominios falsos que imitan páginas conocidas, por lo que es importante revisar la dirección web cuidadosamente¹.

Nota de la Redacción: esta nota se basa en la información disponible al publicarla y se actualizará si otras fuentes aportan más datos.

Fuentes

Texto elaborado por la Redacción de Columna Digital a partir de estas fuentes:

1. Infobae ↩

Redacción Columna Digital. Es posible que en la preparación de esta nota se hayan usado herramientas de inteligencia artificial para reunir fuentes, procesar datos, corregir o redactar textos, bajo la supervisión del equipo de Redacción.