El 4 de noviembre de 2026, la empresa de ciberseguridad Sekoia publicó una investigación sobre un ataque de agua estacionaria en dispositivos móviles: los atacantes insertaron scripts maliciosos en sitios web legítimos, sitios falsificados y servicios de análisis de terceros, y luego enviaron cadenas de vulnerabilidades para iOS o Android según el dispositivo de acceso. El equipo de investigación asoció la actividad con APT29 o uno de sus subgrupos con una confianza media-alta, pero esta conclusión es el resultado de un análisis de atribución basado en la superposición técnica, los métodos operativos, la distribución de objetivos y la infraestructura, y no es una designación gubernamental. Las tres cadenas de explotación recuperadas dependían de vulnerabilidades ya parcheadas, sin cero-days y no aplicables a dispositivos completamente actualizados.
Tres tipos de puntos de entrada de entrega cruzan sitios web y servicios de análisis
Sekoia clasificó los puntos de entrada de entrega en tres categorías. La primera es la adición de JavaScript a plantillas de sitios web legítimos comprometidos o a scripts existentes; la segunda es el registro de dominios similares a sitios web reales que actúan como proxies inversos e insertan código en las páginas devueltas; la tercera es el ataque a Plerdy, un servicio de análisis ucraniano, donde los atacantes escribieron un cargador en sus scripts de seguimiento legítimos. Los componentes de Plerdy estuvieron afectados del 27 de agosto al 3 de septiembre de 2026, durante una semana. El script fue cargado por miles de sitios web, la mayoría ubicados en Ucrania, pero el hecho de que un sitio web cargue el script no implica que cada visitante reciba la cadena de explotación o sea exitosamente comprometido.
La infraestructura involucrada en el informe incluye Estados Unidos, Ucrania, la República Checa y Bulgaria. Los investigadores registraron la inyección en sitios web de una empresa de gas natural ucraniana, la Asociación de Industrias Químicas de Estados Unidos, una organización política checa y sitios web relacionados con el ejército de Bulgaria, y descubrieron dominios de proxy inverso que imitaban a America250 y al hotel Raffles at The OWO en Londres. Sekoia considera que la distribución de víctimas se inclina hacia Ucrania y Estados Unidos, pero los sitios web directamente comprometidos no siguen un patrón de industria específico; también se incluyó en la investigación un consultorio médico australiano. Los materiales existentes no proporcionan el número total de dispositivos infectados, víctimas individuales o datos robados.
Después de la huella digital del dispositivo, se distribuyen dos cadenas de iOS
Cuando el visitante abre la página correspondiente, el cargador lee el sistema operativo, la versión del navegador y las propiedades del dispositivo, y luego envía la huella digital al punto de entrega controlado por el atacante; el servidor decide si devuelve el código posterior basándose en condiciones básicas del dispositivo. Sekoia afirma que el script está compuesto por 61 recolectores que pueden formar 394 campos, cubriendo desde la pantalla, fuentes, red, sensores hasta ciertas características de Apple. Los investigadores también señalan que la mayoría de los campos tienen un impacto pequeño en la decisión de entregar la vulnerabilidad, y el propósito específico de recopilar tantas propiedades del dispositivo aún no está claro. El informe no demuestra cómo se reutilizaron estas huellas digitales posteriormente.
La primera cadena de iOS restaurada por el equipo de investigación está dirigida a iOS 16.7 y combina dos vulnerabilidades conocidas con el objetivo de leer las cookies guardadas en el navegador y en algunas aplicaciones. La segunda cadena está orientada a iOS 18.5 y utiliza múltiples etapas del marco DarkSword, intentando obtener mensajes de texto, iMessages, índices de correo, bases de datos de WhatsApp y Telegram, credenciales de la cadena de llaves, ubicación, datos de salud, fotos y contenido de iCloud Drive. Estos elementos son el análisis de las capacidades de la carga útil por parte de Sekoia y no representan que cada dato haya sido exitosamente transmitido de cada dispositivo. Las vulnerabilidades utilizadas en ambas cadenas fueron parcheadas por los fabricantes antes del inicio de la actividad.
Cadena de Android y límites de atribución a APT29
La cadena de Android se dirige a versiones de Chrome no parcheadas desde la 139 hasta la 145, pero excluye explícitamente la versión 143; Sekoia no explica esta exclusión. La cadena primero aprovecha la vulnerabilidad de Chrome para obtener la ejecución de código en el proceso de renderizado, luego utiliza una vulnerabilidad del controlador Adreno para escapar del aislamiento del navegador y finalmente, la carga útil intenta recopilar cookies de Chrome, información de inicio de sesión guardada, historial de navegación y configuraciones de Wi-Fi. Los investigadores también descubrieron que el código se detiene al detectar el modelo Samsung Galaxy S25 Ultra con el número de modelo SM-S938B, pero no se proporciona una razón para esto. La cadena utiliza solo vulnerabilidades conocidas y parcheadas.
Sekoia ha colaborado con los equipos de respuesta a incidentes de computadoras de los países afectados para apoyar la identificación de víctimas y la evaluación de formas de interrumpir la infraestructura relacionada. El equipo también ha compartido algunas de sus descubrimientos con el Grupo de Análisis de Amenazas de Google; según la transcripción de Sekoia, Google confirmó que el marco es similar a una actividad de agua estancada atribuida a APT29 en 2024, y ambas actividades implican el robo de cookies. No se proporciona un informe de investigación independiente de Google sobre esta actividad de 2026, por lo que la similitud técnica solo se puede expresar según el registro de Sekoia y no se puede reformular como una conclusión de atribución independiente.
Verificación de medios no cambia la escala desconocida de las víctimas
Lo que se puede confirmar actualmente son tres tipos de rutas de entrega, tres cadenas de vulnerabilidades recuperadas y su estado de parcheo. La atribución de Sekoia a APT29 o a uno de sus subgrupos es una evaluación de confianza media-alta, que no ha sido confirmada por el gobierno o por otro informe técnico independiente en los materiales proporcionados; el script Plerdy cubre miles de sitios web, pero no se puede concluir que todos los visitantes de esos sitios web hayan sido infectados. El informe no revela el número de ataques exitosos, la cantidad de datos transmitidos, una lista completa de víctimas, la fecha de finalización de la actividad o el estado actual de la infraestructura de ataque. Los dispositivos completamente actualizados de iOS y Android no están afectados por estas tres cadenas recuperadas, pero esta conclusión no abarca otras herramientas de ataque fuera del informe.