Una campaña de ciberespionaje explotó fallos ya corregidos de iOS y Android

Una campaña de ciberespionaje dirigió a usuarios de iPhone y Android hacia código malicioso mediante sitios web falsos o comprometidos, según investigadores de seguridad. Los ataques aprovecharon vulnerabilidades que ya tenían parches disponibles, por lo que podían afectar a dispositivos con versiones desactualizadas.

Cómo funcionaba el ataque

Según la investigación difundida por Ars Technica, la operación empleó JavaScript para perfilar el navegador y el teléfono de cada visitante. Después podía desplegar una cadena de exploits adaptada a la plataforma. Las cargas intentaban robar cookies del navegador y, en algunos casos, contraseñas de Wi-Fi y datos completos del dispositivo.

Los investigadores describieron tres vías para introducir el código: la inyección directa en el tráfico de sitios legítimos, el uso de dominios que actuaban como proxies de páginas auténticas y la vulneración de la cadena de suministro de un servicio ucraniano de analítica web. En los tres casos el JavaScript era el mismo, aunque la carga posterior dependía de la plataforma.

La fase de reconocimiento permitía distinguir entre iOS y Android antes de entregar una de tres cadenas de exploits de clic cero. Ese tipo de herramienta explota una falla sin que el usuario deba pulsar un enlace adicional, aunque el contacto inicial dependía de que la persona visitara uno de los sitios intervenidos o señuelos.

Alcance y atribución

La investigación señala que el alcance potencial comprendía cientos de sitios distintos, entre páginas suplantadas y sitios legítimos afectados. Esa cifra describe el universo posible de páginas usadas, no un número confirmado de víctimas ni de teléfonos infectados.

Sekoia atribuyó la operación al Servicio de Inteligencia Exterior de Rusia con confianza moderada a alta. Entre los objetivos de suplantación figuró america250.org, sitio de una organización no partidista que reúne a legisladores y ejecutivos de negocios. Los atacantes registraron america250[.]holiday y lo configuraron como proxy inverso.