Una campaña de tipo watering hole a gran escala, atribuida con un nivel de confianza moderado a alto al grupo de amenazas ruso APT29, ha atacado a usuarios de iOS y Android a través de sitios web comprometidos y dominios que se hacían pasar por portales legítimos. Investigadores de la empresa de ciberseguridad Sekoia afirman que la operación utilizó sitios de Estados Unidos, Ucrania, la República Checa y Bulgaria para distribuir código que perfilaba a los visitantes y seleccionaba exploits para sus dispositivos sin requerir interacción.
Según los investigadores, entre los sitios legítimos comprometidos había el de un productor de gas ucraniano, el de una asociación comercial de la industria química estadounidense y el de una entidad búlgara relacionada con el ámbito militar. Los atacantes también utilizaron dominios similares que se hacían pasar por el sitio oficial de America250 y el hotel Raffles London at The OWO, retransmitiendo contenido de los sitios auténticos mediante una configuración de adversario en el medio.
Sekoia también descubrió que los atacantes habían comprometido Plerdy, un proveedor ucraniano de analítica web, y habían modificado su rastreador SEO. El rastreador modificado se cargó en miles de sitios web, en su mayoría en Ucrania, entre el 27 de agosto y el 3 de septiembre. En los casos analizados, JavaScript identificaba primero los dispositivos de los visitantes y las versiones de sus navegadores; después, un servidor de mando y control proporcionaba la cadena de exploits correspondiente.
Los exploits apuntaban a vulnerabilidades de versiones antiguas de iOS y Chrome para Android. En iOS 16.7, la cadena apuntaba a las cookies de Safari. Una cadena distinta para iOS 18.5 buscaba bases de datos de WhatsApp y Telegram, credenciales del Llavero, datos de ubicación y fotos. En las versiones de Chrome para Android de la 139 a la 145, excepto la versión 143, la carga útil AndroSnitch recopilaba cookies, datos de inicio de sesión, historial de navegación y credenciales de redes Wi-Fi guardadas.
Sekoia identificó otras cuatro vulnerabilidades en código inalcanzable o en rutas alternativas de los exploits, pero señaló que no se utilizaron en las cadenas examinadas. Los investigadores también vincularon CVE-2025-43529 con el kit de exploits DarkSword, documentado por primera vez en marzo y utilizado por varios grupos de amenazas desde, al menos, noviembre de 2025.
Según Sekoia, las cargas útiles no establecían persistencia, lo que significa que reiniciar el dispositivo detenía la actividad hasta que el usuario volviera a visitar un sitio comprometido. Los investigadores basaron la atribución a APT29 en las similitudes con operaciones anteriores del grupo de tipo watering hole, las coincidencias en la infraestructura y un sitio comprometido que un socio había vinculado a una campaña de APT29 en 2025.
Apple y Google han corregido todas las vulnerabilidades a las que apuntaba la campaña; las correcciones también llegaron a versiones anteriores de iOS. Se recomienda a los usuarios instalar las actualizaciones de seguridad más recientes disponibles para sus dispositivos.
Fuentes: BleepingComputer.