El grupo ruso APT29 ha lanzado un ataque masivo de "watering hole" contra usuarios de iOS y Android mediante sitios web comprometidos y falsos. Utilizan código JavaScript para analizar el dispositivo de la víctima y desplegar exploits específicos que roban credenciales, cookies y datos de apps como WhatsApp y Telegram. Aunque los ataques no dejan persistencia tras reiniciar el dispositivo, se recomienda actualizar el sistema operativo, ya que Apple y Google ya han lanzado los parches correspondientes.

Un ataque de watering hole a gran escala asociado con hackers rusos ha tenido como objetivo a usuarios de iOS y Android que visitan sitios comprometidos o falsos que suplantan portales legítimos.

La campaña utilizó múltiples sitios web de alto perfil en EE. UU., Ucrania, la República Checa y Bulgaria que entregaban la misma carga útil para perfilar a los visitantes y sus dispositivos.

Esta etapa inicial permite al atacante determinar la versión del navegador para desplegar "cadenas de exploits n-day específicas de la plataforma sin interacción del usuario".



Investigadores de la empresa de ciberseguridad Sekoia atribuyen la operación con confianza moderada a alta a APT29 (también conocido como Midnight Blizzard), un grupo de amenazas ruso que recientemente fue vinculado con ataques a WiFi de hoteles.

Según sus hallazgos, los sitios legítimos comprometidos pertenecen a un productor de gas ucraniano, una asociación comercial de la industria química de EE. UU. y un sitio relacionado con el ejército búlgaro.

Dominios similares suplantaron el sitio oficial de America250 y el hotel Raffles London at The OWO, retransmitiendo contenido de los sitios reales en un modelo de ataque de adversario en el medio.

Los investigadores también descubrieron que el actor de amenazas había comprometido el servicio de análisis web ucraniano Plerdy y modificado su rastreador de SEO, que fue cargado por miles de sitios web, principalmente en Ucrania, entre el 27 de agosto y el 3 de septiembre.

En todos los casos, la carga útil inicial fue un código JavaScript que perfilaba a los visitantes del sitio web para determinar sus dispositivos y versiones de navegador. El servidor de comando y control (C2) luego enviaba la cadena de exploits correcta.

El código JavaScript inyectado
Fuente: Sekoia

Según Sekoia, los actores de amenazas explotaron las siguientes vulnerabilidades para extraer cookies, bases de datos de aplicaciones de mensajería y credenciales:

* CVE-2025-43529 y CVE-2024-27834 (en iOS 16.7). La carga útil se dirige a las cookies almacenadas en Safari.
* CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520 (en iOS 18.5). La carga útil recolecta bases de datos de WhatsApp y Telegram, credenciales de Keychain, datos de ubicación y fotos.
* CVE-2026-3910 y CVE-2025-27038 (en Chrome para Android 139 a 145, excluyendo 143). Utiliza AndroSnitch para recopilar cookies de Chrome, datos de inicio de sesión, historial de navegación y credenciales de WiFi guardadas.

Los investigadores identificaron otras cuatro vulnerabilidades en código inalcanzable o rutas de exploit alternativas, pero no fueron utilizadas en las cadenas analizadas.

El CVE-2025-43529 está vinculado al kit de exploits “DarkSword”, documentado por primera vez en marzo y aprovechado en ataques desde al menos noviembre de 2025 por múltiples grupos de amenazas.

Sekoia afirma en su blog que ninguna de las cargas útiles que APT29 utilizó en estos ataques estableció persistencia, lo que permite que un reinicio del dispositivo detenga la actividad maliciosa hasta que se visite nuevamente un sitio comprometido.

En cuanto a su atribución a APT29, Sekoia señala similitudes con operaciones pasadas de watering-hole del mismo grupo, superposiciones de infraestructura y un sitio comprometido que un socio vinculó a una campaña de APT29 de 2025.

Apple y Google han parcheado todos los fallos objetivo de esta campaña, con correcciones que llegan incluso a versiones antiguas de iOS, por lo que se recomienda a los usuarios aplicar las últimas actualizaciones de seguridad disponibles para sus dispositivos.



Fuente:
BleepingComputer