Sekoia atribuye con confianza moderada a alta a un grupo ruso una campaña contra iOS y Android que usó fallos ya corregidos y webs suplantadas.
Investigadores de Sekoia han descrito una campaña que explotó vulnerabilidades ya corregidas de iOS y Android para infectar a quienes visitaban determinadas webs. Según recoge Ars Technica, la firma atribuye la operación, con «confianza moderada a alta», al Servicio de Inteligencia Exterior ruso, aunque el grupo podría estar patrocinado por el Kremlin en busca de objetivos diplomáticos.
El mecanismo era sencillo de entender, aunque sofisticado de montar. El visitante llegaba a una web legítima, comprometida o suplantada mediante un proxy inverso, y recibía un JavaScript inyectado que perfilaba su navegador y su dispositivo. Con esa información, los atacantes servían una de tres cadenas de explotación sin clic, adaptada a la plataforma. El objetivo final: robar cookies del navegador y, en algunos casos, contraseñas de redes Wi-Fi y datos completos del móvil.
Lo llamativo son los señuelos. Los atacantes registraron un dominio que hacía de proxy de la web de America250, la organización vinculada al 250 aniversario de la independencia estadounidense, y otro que replicaba el sitio de un hotel de lujo de Londres próximo al Ministerio de Defensa y a Downing Street. Sekoia sugiere que pudieron elegirlos como pretexto para campañas de spear-phishing contra delegaciones y personas de perfil alto. Conviene subrayarlo: es una hipótesis de los investigadores, no una intención demostrada.
También se usaron webs comprometidas de empresas ucranianas, entre ellas una gasista importante, y un servicio ucraniano de analítica web que da servicio a miles de sitios. Ese último vector es el más inquietante: un compromiso de cadena de suministro convierte a potencialmente cientos de páginas en vehículos del ataque sin que sus responsables lo sepan. Para la atribución, Sekoia se apoya en el perfil de las víctimas y en similitudes con un ataque anterior asignado a APT29, nombre bajo el que se rastrea al presunto grupo ruso.
Una de las cadenas fue DarkSword, un kit de explotación para iOS que, según investigadores de Google, han usado clientes de un proveedor comercial de vigilancia turco y al menos otros dos actores. Las otras dos cadenas no se han identificado públicamente. Lo esencial es que todas las vulnerabilidades eran «n-days», es decir, ya parcheadas: el ataque solo funcionaba en versiones desactualizadas de iOS o Android.
Nuestra lectura es poco glamurosa. Aquí no hay un cero-día mágico, sino una lección sobre higiene: los fallos arreglados siguen siendo munición mientras haya teléfonos sin actualizar, y los actores con recursos lo saben. También separamos lo comprobado de lo supuesto: el funcionamiento técnico procede del análisis de Sekoia, pero la autoría estatal y las intenciones sobre los señuelos son evaluaciones. Para un lector corriente, la defensa es la de siempre y sigue siendo la más eficaz: actualizar el sistema y el navegador sin demora, y desconfiar de invitaciones inesperadas que lleven a webs poco habituales.
Artículos relacionados de LaRebelión
Binance suspende retiros tras un ataque que podría rondar los miles de millones
PHP2Shell: qué son los dos fallos críticos de PHP y cómo protegerte
PHP prepara dos parches de emergencia para fallos críticos de ejecución remotaFuente original: arstechnica.com
Artículo generado mediante AI.larebelion
Publicar un comentario