Hackers explotan vulnerabilidades n-day en ataques sin clic contra dispositivos iOS y Android

El 4 de noviembre de 2026, BleepingComputer informó sobre una campaña de watering hole asociada con hackers rusos que dirigió a usuarios de iOS y Android hacia sitios comprometidos o portales falsos. La operación afectó a páginas de Estados Unidos, Ucrania, República Checa y Bulgaria, que entregaban la misma carga para identificar a los visitantes y sus dispositivos.

Según la empresa de ciberseguridad Sekoia, la operación se atribuye con confianza moderada-alta a APT29, también conocido como Midnight Blizzard. El código JavaScript inicial determinaba la versión del navegador y el sistema operativo para que el servidor de mando y control enviara cadenas de exploits n-day específicas para cada plataforma, sin interacción del usuario.

Entre los sitios comprometidos había páginas vinculadas a un productor ucraniano de gas, una asociación estadounidense de la industria química y un sitio relacionado con el ámbito militar búlgaro. Los atacantes también utilizaron dominios similares a America250 y al hotel Raffles London at The OWO mediante un modelo de adversario en el medio. Además, modificaron el rastreador SEO del servicio ucraniano de analítica web Plerdy, cargado por miles de sitios, principalmente en Ucrania, entre el 27 de agosto y el 3 de septiembre.

Las cadenas dirigidas contra iOS explotaron CVE-2025-43529 y CVE-2024-27834 en iOS 16.7 para extraer cookies de Safari, así como CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520 en iOS 18.5 para recolectar bases de datos de WhatsApp y Telegram, credenciales de Keychain, datos de ubicación y fotografías. En Chrome para Android, entre las versiones 139 y 145 salvo la 143, se emplearon CVE-2026-3910 y CVE-2025-27038 para obtener cookies, datos de inicio de sesión, historial de navegación y credenciales WiFi guardadas mediante AndroSnitch.

Sekoia indicó que las cargas utilizadas por APT29 no establecían persistencia. Un reinicio del dispositivo detenía la actividad maliciosa hasta que el usuario volviera a visitar un sitio comprometido. Apple y Google ya han corregido las vulnerabilidades explotadas, incluso en versiones antiguas de iOS, por lo que se recomienda instalar las actualizaciones de seguridad disponibles.

Fuente: BleepingComputer.