Poisoned Source de APT29 convierte páginas normales en trampas para teléfonos: el visitante no toca nada, no descarga nada y aun así puede salir de la web con las cookies robadas. Es el nombre que Sekoia, empresa francesa de ciberseguridad, dio a la campaña que su equipo descubrió a mediados de octubre de 2026, con informe técnico publicado el 4 de noviembre. Un código escondido en sitios reales, dominios falsos y un servicio de analítica revisaba cada iPhone y cada Android que entraba y le servía la cadena hecha a su medida.
La atribución trae su nivel de certeza en el propio informe: Sekoia liga la operación a APT29, también seguido como Midnight Blizzard y Cozy Bear, con confianza de moderada a alta por coincidencias técnicas y patrones de trabajo. A APT29 los gobiernos occidentales lo ligan al Servicio de Inteligencia Exterior de Rusia (SVR, por sus siglas en inglés). Ningún gobierno ha firmado esa atribución y el número de víctimas se desconoce.
El anzuelo no era un correo ni un mensaje. Era la web misma. Sekoia tropezó con la operación al detectar un JavaScript malicioso en la página de una empresa ucraniana de gas, y al tirar del hilo aparecieron tres caminos hacia el mismo servidor. Uno: sitios legítimos intervenidos, con el código metido en la plantilla o en un archivo JavaScript existente, entre ellos una gran asociación comercial de la industria química de Estados Unidos, un partido europeo de extrema derecha y una página búlgara de tema militar. Dos: dominios clon, intermediarios del sitio real. Tres: un servicio de analítica que miles de páginas cargan.
Una semana con Plerdy bastó para tocar miles de sitios
Entre el 27 de agosto y el 3 de septiembre de 2026, los atacantes alteraron el archivo principal del rastreador de Plerdy SEO Tracker, un servicio ucraniano de analítica alojado en a.plerdy[.]com, cargado por miles de sitios, casi todos ucranianos. Quien visitaba esas páginas en esa semana cargaba el rastreador legítimo y, con él, el código de reconocimiento. Entre los sitios alcanzados por esa vía había páginas del ejército, de fuerzas especiales y de equipos militares, incluidos drones.
Los dominios clon trabajaban con más teatro. El dominio america250[.]holiday copiaba como proxy inverso a america250.org, el sitio oficial del 250 aniversario de la independencia de Estados Unidos, y le inyectaba el código al final de cada página. El segundo clon, theowo[.]club, ya fuera de línea, imitaba la web del hotel Raffles London, junto al Ministerio de Defensa británico y Downing Street, donde el presidente ucraniano Volodímir Zelenski se alojó el 14 de octubre.
Todo visitante que caía en cualquiera de las tres rutas cargaba el mismo reconocedor, bautizado por los propios atacantes como UltimateFingerprinter. El código recoge la configuración del navegador y del aparato con 61 colectores que arman 394 campos en formato JSON: lienzo gráfico, audio, fuentes, sensores, batería y red. Viaja pegado a una copia reducida de la biblioteca AngularJS, código muerto que ocupa el 98 % de sus 2,3 MB para engordar el paquete y dificultar el análisis. Con el perfil en la mano, el servidor decidía si ese teléfono recibía la cadena o una respuesta vacía.
Tres cadenas armadas con parches viejos
La clase A apunta a iOS 16.7, aunque funcionaría entre iOS 16.0 y 17.4. Combina CVE-2025-43529, un fallo de ejecución remota de código en WebKit, con CVE-2024-27834, un desvío de la autenticación de punteros, y termina en un programa en JavaScript que roba las cookies del navegador. La clase B va contra iOS 18.5 con DarkSword, un paquete comercial de explotación, y encadena cinco fallos: CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520. Su carga vacía el teléfono casi entero: mensajes SMS e iMessage, bases de datos de correo, bases de WhatsApp y Telegram, el llavero de iCloud con las claves wifi, contactos, llamadas, datos de Safari, fotos y datos de Salud, Notas y iCloud Drive.
En Android manda la clase C, para Chrome 139 a 145, con un hueco raro: la 143 queda fuera y Sekoia no encontró el motivo. Explota CVE-2026-3910 y CVE-2025-27038 para ejecutar código, salir del entorno aislado del navegador y subir privilegios, y deja AndroSnitch, un ladrón de datos de Chrome y contraseñas wifi que no se queda en el aparato. La cadena trae una condición curiosa: si el aparato se identifica como un Samsung Galaxy S25 Ultra, modelo SM-S938B, el ataque se detiene. Lo robado en las tres clases viajaba al mismo destino, el punto ad.starx-net[.]com:8881, y ninguna carga buscaba persistencia: entraban, copiaban y salían. El patrón recuerda al spyware Candiru que llegó por anuncios sin clic, otra infección silenciosa que entraba por el navegador sin pedirle nada al dueño.
CISA movió su pieza el 4 de noviembre con CVE-2024-27834: la agencia de ciberseguridad de Estados Unidos lo sumó a su catálogo de vulnerabilidades explotadas conocidas, con plazo federal del 18 de noviembre. Apple lo había corregido en mayo de 2024, dentro de iOS 17.5 y Safari 17.5, y su nota CVSS es de apenas 5,5 sobre 10, una cifra baja que engaña: el fallo no abre la puerta, pero retira un candado de la cadena cuando el primer eslabón ya entró. Las tres cadenas de Poisoned Source usan solo fallos con parche publicado antes de la campaña, ninguna contiene un día cero y un teléfono con el sistema y el navegador al día quedaba fuera de su alcance.
Fuente: Sekoia
