INCIDENTE
APT29, vinculado a Rusia, ataca usuarios de iOS y Android con sitios comprometidos
Investigadores atribuyen con confianza moderada a alta una campaña de watering hole a APT29, que usó un servicio de analítica ucraniano comprometido y exploits n-day para robar datos de dispositivos móviles.
Investigadores de la firma Sekoia identificaron a mediados de octubre de 2026 una campaña a gran escala de watering hole dirigida a usuarios de dispositivos iOS y Android, que atribuyen con confianza moderada a alta al grupo APT29, vinculado al servicio de inteligencia exterior ruso (SVR). La operación fue bautizada Poisoned Source.
Entre el 27 de agosto y el 3 de septiembre de 2026, el grupo comprometió el rastreador de analítica ucraniano Plerdy, cargado por miles de sitios web, en su mayoría ucranianos. El código JavaScript inyectado recopilaba atributos del navegador y del dispositivo y enviaba esa información a un servidor de mando y control que entregaba la cadena de exploits correspondiente a cada plataforma.
La campaña también utilizó sitios de alto perfil en Estados Unidos, Ucrania, República Checa y Bulgaria, además de dominios falsos que imitaban portales legítimos. Los exploits apuntaban a vulnerabilidades ya corregidas por Apple y Google, por lo que solo afectaban a dispositivos sin actualizar.
Los objetivos de los ataques eran el robo de cookies del navegador y, en algunos casos, contraseñas de Wi-Fi o datos completos del dispositivo. Según los investigadores, ninguno de los payloads establecía persistencia, de modo que reiniciar el equipo detenía la actividad maliciosa hasta que el usuario volviera a visitar un sitio comprometido.
Cómo ocurrió
- Confirmado
- APT29Grupo vinculado al SVR rusoConfirmado.
- PlerdyRastreador de analítica comprometidoConfirmado.
- Sitios infectadosMiles de webs cargan el scriptConfirmado.
- Visitantes móvilesAcceden desde iOS o AndroidConfirmado.
- Exploits n-dayFallas ya corregidas por Apple y GoogleConfirmado.
- Robo de datosCookies, Wi-Fi y datos del equipoConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Sekoia documentó tres cadenas de exploits distintas que afectan a iOS 16.7, iOS 18.5 y Chrome para Android en versiones 139 a 145, con la excepción de la 143.
- El compromiso del rastreador Plerdy ocurrió entre el 27 de agosto y el 3 de septiembre de 2026, según el informe de los investigadores.
- Apple y Google ya corrigieron todas las vulnerabilidades explotadas en la campaña.
- Los payloads no establecían persistencia en los dispositivos afectados.
SIN VERIFICAR O ABIERTO
- No está claro si los atacantes buscaban visitantes de sitios específicos o comprometer la mayor cantidad posible de dispositivos sin actualizar.
- Sekoia no pudo explicar por qué la cadena para Android excluye la versión 143 de Chrome.
- La atribución a APT29 se basa en similitudes con campañas previas, superposición de infraestructura y un sitio comprometido vinculado a una operación de 2025, pero no es concluyente.
Contexto
APT29, también conocido como Cozy Bear, Midnight Blizzard o Nobelium, es un grupo asociado al SVR ruso con historial de campañas de espionaje y watering hole. Recientemente se lo vinculó con ataques a redes Wi-Fi de hoteles.
La vulnerabilidad CVE-2025-43529 está ligada al kit de exploits DarkSword, documentado por primera vez en marzo y utilizado por múltiples grupos desde al menos noviembre de 2025.
La victimología muestra un foco en Ucrania y Estados Unidos, aunque también aparecen entidades no relacionadas, como una clínica médica australiana, lo que complica una interpretación estratégica amplia de la selección de objetivos.
Qué hacer
- Actualizar sistemas operativos Aplicar las últimas actualizaciones de iOS y Android, ya que los exploits usados apuntan a fallas que los fabricantes ya corrigieron.
- Reiniciar dispositivos móviles Reiniciar el equipo interrumpe la actividad maliciosa, dado que los payloads no establecen persistencia.
- Evitar sitios sospechosos Desconfiar de portales que imitan servicios legítimos y de enlaces recibidos por mensajería que lleven a sitios desconocidos.
- Revisar accesos y sesiones Cerrar sesiones activas y cambiar contraseñas de servicios críticos si se sospecha que las cookies pudieron ser robadas.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
