Hackers vinculados al servicio de inteligencia exterior de Rusia usaron fallas ya corregidas de iPhone y Android para infectar teléfonos de quienes visitaban ciertos sitios web, sin que la víctima tocara nada. La empresa francesa de seguridad Sekoia publicó el hallazgo.
Sekoia atribuyó la campaña, con confianza “moderada a alta”, al grupo APT29, también conocido como Midnight Blizzard o Cozy Bear. La firma lo describe como un grupo de origen ruso, atribuido de forma amplia al Servicio de Inteligencia Exterior de Rusia (SVR). Detectó la actividad a mediados de octubre.
PUBLICIDAD
El ataque empezaba cuando un usuario abría uno de los sitios afectados. Un código JavaScript inyectado en la página identificaba el modelo del teléfono y la versión del navegador. Con esos datos, un servidor de los atacantes enviaba la cadena de explotación adecuada para iPhone o para Android, según describió Sekoia.
Las cadenas de explotación son secuencias de fallas de seguridad encadenadas que permiten tomar control de un aparato. Funcionan “sin interacción del usuario”: no hace falta pulsar un enlace ni descargar un archivo. Los atacantes buscaban robar cookies del navegador, que pueden servir para reutilizar sesiones abiertas, y en algunos casos contraseñas de WiFi o datos completos del equipo.
Tres vías de entrada y tres cadenas de ataque
Sekoia identificó tres formas de llegar a las víctimas. La primera fue inyectar el código en sitios legítimos comprometidos. La segunda, crear dominios falsos que copiaban sitios conocidos. La tercera, vulnerar un servicio ucraniano de análisis de tráfico web que utilizan miles de sitios, según informó Ars Technica.
PUBLICIDAD
Entre los sitios imitados estaba america250.org, de la iniciativa por los 250 años de la independencia de Estados Unidos, y el del hotel Raffles London at The OWO, cercano al Ministerio de Defensa británico y a la residencia del primer ministro. Ars Technica señaló que el presidente de Ucrania, Volodímir Zelenski, se alojó allí el 14 de octubre.
La primera cadena apuntaba a iPhone con iOS 16.7 y robaba cookies de Safari. La segunda, contra iOS 18.5, usaba un conjunto de herramientas llamado DarkSword y extraía mensajes de texto, iMessage, bases de datos de WhatsApp y Telegram, contraseñas del llavero de iCloud, ubicación y fotos. Sekoia sospecha que DarkSword fue creado por un proveedor comercial de vigilancia.
La tercera cadena atacaba a Android con versiones de Chrome de la 139 a la 145, salvo la 143, por motivos que Sekoia no pudo explicar. Robaba cookies, datos de inicio de sesión, historial y contraseñas de WiFi guardadas.
PUBLICIDAD
Los teléfonos actualizados no eran vulnerables
Todas las fallas usadas ya habían sido corregidas por Apple y Google antes de que empezara la campaña. Según Sekoia, ninguna es una falla desconocida para los fabricantes y ninguna funciona contra dispositivos totalmente actualizados. “Un usuario con un sistema operativo al día está a salvo de estos ataques”, afirmó la firma.
Los programas maliciosos tampoco se instalaban de forma permanente en el teléfono. Reiniciarlo detenía la actividad hasta que el usuario volviera a visitar un sitio comprometido, según BleepingComputer. Eso no devuelve los datos que ya se hubieran copiado antes del reinicio.
Sekoia relacionó la campaña con el grupo ruso por las coincidencias técnicas, los patrones de operación, la infraestructura y el perfil de los objetivos, que incluían sitios vinculados a la guerra contra Ucrania. Ars Technica añadió que hay similitudes con un ataque anterior atribuido a APT29.
PUBLICIDAD
La empresa no precisó cuántos dispositivos fueron infectados. Sekoia informó que coordina con los equipos nacionales de respuesta a incidentes informáticos de los países afectados para identificar a las víctimas y evaluar cómo desactivar la infraestructura de los atacantes.
PUBLICIDAD
PUBLICIDAD