Una operación de ciberespionaje atribuida a Rusia logró infectar teléfonos iPhone y Android sin que la víctima hiciera nada más que abrir una página web. El hallazgo lo publicó la firma francesa de seguridad Sekoia, que detectó la actividad a mediados de octubre y la vinculó con confianza "moderada a alta" al grupo APT29, conocido también como Midnight Blizzard o Cozy Bear, ampliamente asociado al Servicio de Inteligencia Exterior ruso (SVR).

La buena noticia para la mayoría: todas las vulnerabilidades explotadas ya tenían parche de Apple y Google antes de que la campaña arrancara. Ninguna era un agujero desconocido para los fabricantes y ninguna funciona contra equipos con el sistema operativo actualizado.

"Un usuario con un sistema operativo al día está a salvo de estos ataques", afirmó Sekoia.

Cómo funcionaba el ataque

El mecanismo no requería que la persona pulsara un enlace ni descargara un archivo. Al entrar a uno de los sitios comprometidos, un código JavaScript inyectado en la página reconocía el modelo del teléfono y la versión del navegador. Con esa información, un servidor de los atacantes enviaba la cadena de explotación correspondiente, es decir, una secuencia de fallas encadenadas que permite tomar el control del aparato.

Sekoia identificó tres puertas de entrada: la inyección de código en sitios legítimos vulnerados, la creación de dominios falsos que imitaban páginas conocidas y el hackeo de un servicio ucraniano de análisis de tráfico web usado por miles de sitios. Entre los sitios suplantados aparecían america250.org, de la iniciativa por los 250 años de la independencia de Estados Unidos, y el del hotel Raffles London at The OWO, cercano al Ministerio de Defensa británico y a la residencia del primer ministro. Según Ars Technica, el presidente ucraniano Volodímir Zelenski se alojó allí el 14 de octubre.

Tres cadenas, tres objetivos

La primera cadena apuntaba a iPhone con iOS 16.7 y robaba cookies de Safari. La segunda, contra iOS 18.5, usaba un kit llamado DarkSword y extraía mensajes de texto, iMessage, bases de datos de WhatsApp y Telegram, contraseñas del llavero de iCloud, ubicación y fotos. Sekoia sospecha que esa herramienta salió de un proveedor comercial de vigilancia.

La tercera atacaba Android con versiones de Chrome de la 139 a la 145, salvo la 143, por razones que la empresa no pudo determinar. En esos casos se llevaba cookies, datos de inicio de sesión, historial y contraseñas de WiFi guardadas.

Qué pasa después y qué se sabe

El programa malicioso no quedaba instalado de forma permanente. Reiniciar el teléfono cortaba la actividad hasta que el usuario volviera a entrar a un sitio comprometido, aunque eso no recupera la información ya copiada antes del reinicio.

Sekoia no precisó cuántos dispositivos resultaron infectados. La firma informó que trabaja junto a los equipos nacionales de respuesta a incidentes de los países afectados para identificar a las víctimas y evaluar cómo desactivar la infraestructura de los atacantes. La atribución al grupo ruso se apoya en coincidencias técnicas, patrones de operación, infraestructura y el perfil de los blancos, que incluían sitios vinculados a la guerra en Ucrania.