Investigadores de Sekoia atribuyen a APT29, grupo vinculado al Estado ruso, una campaña de ataques de tipo watering hole llamada Poisoned Source. En este tipo de ataque se contaminan los sitios web que visitan las víctimas, en lugar de atacarlas directamente. La campaña apunta a usuarios de iPhone y Android y busca robar cookies, contraseñas WiFi y, en algunos casos, todo el contenido del teléfono.
Los atacantes usaron tres vías de entrada. La primera fue inyectar JavaScript malicioso en sitios legítimos, entre ellos una asociación de la industria química de Estados Unidos y un sitio militar búlgaro. La segunda fueron dominios falsos que imitan sitios de Estados Unidos, Ucrania, República Checa y Bulgaria. La tercera fue un ataque a la cadena de suministro: entre el 27 de agosto y el 3 de septiembre de 2026 alteraron el script del servicio ucraniano de analítica web Plerdy SEO Tracker. Así, cualquier sitio que lo cargaba distribuía el código malicioso sin saberlo.
El script identifica el sistema operativo y el navegador del visitante y entrega una cadena de exploits N-day, es decir, que aprovecha vulnerabilidades ya conocidas y corregidas por el fabricante. En iOS 16.7 usa CVE-2025-43529 y CVE-2024-27834 para robar cookies. En iOS 18.5 usa el kit DarkSword, con CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520. Con él extrae mensajes SMS e iMessage, correo, bases de datos de WhatsApp y Telegram, llavero de iCloud, fotos, contactos y datos de salud. En Android ataca Chrome de la versión 139 a la 145, salvo la 143, con CVE-2026-3910 y CVE-2025-27038. Así instala AndroSnitch, que roba datos de Chrome y contraseñas WiFi. Todo se envía a ad.starx-net[.]com:8881/telemetry/v12.
El problema va más allá de APT29. La campaña criminal DeadTag compra dominios vencidos de etiquetas de analítica y publicidad abandonadas que miles de sitios siguen cargando. Con ellos entrega el kit Coruna a iPhone con iOS 13 a 17.2.1 y DarkSword P7 a iPhone con iOS 18.4 a 18.7. Según Report URI, basta con abrir la página para que el equipo vulnerable quede comprometido, sin clics ni instalaciones. Zimperium contabilizó 608 dominios que distribuían código de la familia Coruna en octubre de 2026.
La defensa principal es actualizar iOS y Chrome para Android a la versión más reciente disponible, porque todas las fallas usadas ya tienen corrección del fabricante. Conviene activar el Modo de Aislamiento de Apple en los teléfonos de directivos y personal con información sensible. También conviene desconfiar de páginas que piden salir del navegador de una aplicación y abrir el enlace en Safari. En los sitios web propios, revise los scripts de terceros que cargan, retire las etiquetas de servicios que ya no usa y verifique que sus dominios sigan vigentes.
Qué significa para tu empresa: Esta semana, inventaríe los teléfonos corporativos y personales con acceso a correo o aplicaciones de la empresa, y exija versiones actualizadas de iOS y Chrome. Agregue a su monitoreo 24/7 el indicador ad.starx-net[.]com y los dominios publicados por Sekoia, Report URI y Zimperium. Así podrá detectar en los registros de DNS y del firewall cualquier equipo que ya se haya comunicado con esta infraestructura. Si su equipo de mercadeo administra el sitio web, pídale la lista de scripts externos y elimine los que nadie pueda justificar.
Fuente original: The Hacker News — ver artículo →