Hackers atribuidos a la inteligencia rusa infectaron iPhone y Android con sólo abrir un sitio web, pero sólo en teléfonos desactualizados, según Sekoia

La firma francesa detectó en octubre una campaña con sitios legítimos adulterados, clones y un servicio ucraniano de análisis web comprometido. Las copias imitaban, entre otros, el sitio de un hotel de lujo en Londres.

Hackers que la empresa francesa de seguridad Sekoia atribuye al grupo ruso APT29 usaron sitios web para infectar teléfonos iPhone y Android de sus visitantes, sin que tuvieran que tocar nada. El informe, difundido esta semana, describe una campaña detectada a mediados de octubre, con sitios afectados en Estados Unidos, Ucrania, República Checa y Bulgaria. Sekoia no precisó cuántos aparatos cayeron.

La aclaración importante: todas las fallas ya estaban corregidas. «Un usuario con un sistema operativo al día está a salvo de estos ataques», afirmó la firma, según Infobae.

Cómo funcionaba

Sekoia identificó tres vías. La primera fue inyectar código en sitios legítimos, como el de una empresa ucraniana productora de gas y el de una asociación industrial de Estados Unidos. La segunda, crear dominios que copiaban sitios conocidos: entre ellos america250.org, de los 250 años de la independencia de Estados Unidos, y el del hotel Raffles London at The OWO, cercano al Ministerio de Defensa británico. La tercera fue comprometer durante una semana a Plerdy, un servicio ucraniano de análisis web, lo que expuso a cientos de sitios.

Un script identificaba el modelo del teléfono y la versión del navegador, y un servidor enviaba el ataque indicado. Una de las cadenas, contra iOS 18.5, usaba DarkSword, un kit que Sekoia sospecha fue creado por un proveedor comercial de vigilancia, y sacaba mensajes, bases de datos de WhatsApp y Telegram, contraseñas, ubicación y fotos. Las otras dos, contra iOS 16.7 y Chrome en Android, robaban sobre todo cookies, datos de inicio de sesión y contraseñas de WiFi.

La atribución y lo que sigue

APT29, también conocido como Midnight Blizzard o Cozy Bear, está ampliamente atribuido al Servicio de Inteligencia Exterior de Rusia. Sekoia lo vincula con «confianza moderada a alta» por coincidencias técnicas, de infraestructura y de víctimas, que incluían sitios ligados a la guerra en Ucrania. Es la evaluación de una empresa privada, no una imputación de un gobierno.

Los programas no quedaban instalados: según BleepingComputer, citado por Infobae, reiniciar el teléfono detenía la actividad, aunque no devuelve lo ya copiado. Sekoia dice que coordina con los equipos nacionales de respuesta a incidentes para identificar víctimas y ver cómo desarmar la infraestructura. La recomendación práctica es actualizar el teléfono y el navegador.