Una amplia campaña de watering hole atribuida con confianza de moderada a alta al grupo de amenazas ruso APT29 tuvo como objetivo a usuarios de iOS y Android que visitaban sitios web comprometidos o portales falsos, según los investigadores de ciberseguridad de Sekoia.
La campaña incluyó sitios web destacados de EE. UU., Ucrania, República Checa y Bulgaria. Entre los sitios comprometidos había uno de un productor de gas ucraniano, otro de una asociación comercial de la industria química estadounidense y un sitio relacionado con el ámbito militar búlgaro. Los dominios falsos suplantaban el sitio web de America250 y el hotel Raffles London at The OWO.
En todos los casos, JavaScript primero perfilaba los dispositivos y las versiones de navegador de los visitantes. Después, un servidor de comando y control enviaba cadenas de exploits n-day específicas para cada plataforma que no requerían interacción del usuario. Los investigadores también identificaron otras cuatro vulnerabilidades en código inaccesible o rutas de explotación alternativas, pero indicaron que no se utilizaron en las cadenas analizadas.
La campaña también incluyó el compromiso del servicio ucraniano de analítica web Plerdy. Su rastreador SEO modificado se cargó en miles de sitios web, principalmente en Ucrania, entre el 27 de agosto y el 3 de septiembre. Sekoia afirmó que las cargas no establecían persistencia, por lo que reiniciar el dispositivo detenía la actividad maliciosa hasta que volvía a visitar un sitio comprometido.
Como fundamento de la atribución, Sekoia citó similitudes con operaciones anteriores de watering hole de APT29, infraestructura coincidente y un sitio que un socio vinculó a una campaña de APT29 de 2025. Apple y Google han corregido todos los fallos aprovechados en la campaña, también en versiones antiguas de iOS. La fuente recomienda instalar las actualizaciones de seguridad más recientes disponibles.
Comentarios
0Aún no hay comentarios. Escribe el primero.