Hackers ligados a Rusia infectaron iPhone y Android sin actualizar con webs hackeadas

Hackers vinculados a Rusia han infectado iPhone y móviles Android a través de webs corrientes: en un teléfono sin actualizar bastaba con abrir una página infectada, sin pulsar ni descargar nada más. Los investigadores de la empresa francesa de seguridad Sekoia, que detectaron la campaña a mediados de octubre, la atribuyen con «confianza moderada a alta» a APT29, un grupo ligado a la inteligencia rusa y conocido también como Midnight Blizzard, según su informe publicado el 4 de noviembre. Apple y Google ya habían corregido todos los fallos usados antes de que empezara la campaña, así que las víctimas son personas que no actualizaron el teléfono.

Webs reales como cebo

Este tipo de ataque se llama «abrevadero» (watering hole): en lugar de enviar un enlace malicioso, los hackers esperan en webs que sus objetivos visitan de todos modos. Sekoia encontró código malicioso inyectado en las webs de una productora de gas ucraniana, una asociación del sector químico de Estados Unidos, un sitio búlgaro de temática militar, un partido político europeo de extrema derecha, un movimiento checo de extrema derecha y una clínica médica australiana.

Los atacantes también montaron copias de dos webs reales que reenviaban el contenido original. Una imitaba America250, la web oficial de las celebraciones del 250 aniversario de Estados Unidos. La otra copiaba la web del hotel Raffles London at The OWO; Sekoia cree que iba dirigida a delegaciones diplomáticas e invitados de alto perfil.

La red más amplia la tendió un ataque a la cadena de suministro. Entre el 27 de agosto y el 3 de septiembre, el script de seguimiento del servicio ucraniano de analítica web Plerdy se modificó para cargar el código de los atacantes. Según Sekoia, ese script funciona en «miles de webs, la gran mayoría ucranianas», así que cualquiera que abriera una de ellas desde un móvil vulnerable esa semana pudo verse expuesto.

Qué se llevaba el ataque de los teléfonos

Primero, un script en la página tomaba la huella del dispositivo y del navegador; después, el servidor de los atacantes enviaba una cadena de exploits adecuada para ese teléfono. Sekoia describe tres cadenas:

• iOS 16 y primeras versiones de iOS 17: robo de cookies de Safari y de apps, que pueden permitir entrar en una cuenta sin contraseña.
• iOS 18.5: casi todo: SMS, iMessage, mensajes de WhatsApp y Telegram, contraseñas del llavero, correo, contactos, historial de llamadas, notas, datos de ubicación, datos de Salud, fotos y archivos de iCloud Drive.
• Android, Chrome de la versión 139 a la 145 (salvo la 143): cookies e inicios de sesión guardados de Chrome, historial de navegación y contraseñas wifi guardadas.

La cadena de iOS 18 coincide en parte con DarkSword, un kit de exploits para iPhone que Google, iVerify y Lookout describieron en marzo y que varios grupos, entre ellos vendedores de programas espía, usan desde al menos noviembre de 2025. Sekoia cree que los exploits salieron probablemente del kit de un proveedor comercial de vigilancia.

Ninguna de las cargas se quedaba instalada en el teléfono: un reinicio acaba con la infección hasta que el dispositivo vuelve a abrir una página infectada, señala BleepingComputer. Pero los datos copiados antes del reinicio ya no se recuperan.

A quién buscaban

APT29 suele ir a por gobiernos, diplomáticos y objetivos de defensa, y la lista de webs encaja con ese patrón. Sin embargo, Sekoia afirma que «no está claro» si los hackers buscaban a los visitantes de webs concretas o simplemente cualquier móvil sin parchear a su alcance. A diferencia de una campaña parecida de APT29 en 2024, esta no tenía filtro y recogía cookies de cualquier navegador. Sus operadores buscan sin parar nuevas formas de llegar a los dispositivos: en agosto, Microsoft informó de que un subgrupo del mismo grupo secuestraba las páginas de acceso al wifi de hoteles para colar malware disfrazado de actualización del navegador.

Cómo proteger tu teléfono

• Instala la última actualización de iOS o Android. Según Sekoia, «un usuario con el sistema operativo al día está a salvo de estos ataques». Si tu iPhone ya no recibe la última versión de iOS, instala la actualización más reciente que Apple ofrezca para él: algunas correcciones se trasladaron a versiones antiguas.
• En Android, actualiza Chrome por separado en Google Play, porque el ataque empieza en el navegador.
• Si tu móvil estaba sin actualizar y visitaste webs ucranianas a finales de agosto o principios de septiembre, cierra todas las sesiones de tus cuentas principales y cambia las contraseñas importantes: las cookies robadas siguen sirviendo hasta que lo hagas.
• Reiniciar acaba con esta infección concreta, pero no cierra los fallos ni devuelve los datos robados, así que no sustituye a la actualización.
• Una VPN no sirve aquí: el código malicioso llega desde webs reales por conexiones cifradas normales, y una VPN solo cambia la ruta de tu tráfico.
• Si eres periodista, cargo público o activista, activa el modo de aislamiento (Lockdown Mode) en el iPhone. Apple avisó hace poco a diputados alemanes de que sus teléfonos habían sido blanco de programas espía.