Qué ha pasado
Sekoia ha descrito una campaña a la que llama Poisoned Source: una operación de watering hole que utilizó webs legítimas, dominios que imitaban servicios conocidos y la cadena de suministro de una plataforma de analítica para dirigir ataques contra dispositivos móviles. La investigación se publicó el 4 de noviembre, después de que la compañía detectara la actividad a mediados de octubre. Uno de los episodios más relevantes afectó durante varios días, entre el 27 de agosto y el 3 de septiembre, a un script de Plerdy que llegó a cargarse en miles de webs, muchas de ellas ucranianas.
Entre las webs afectadas figuraban sitios relacionados con el ejército, fuerzas especiales y equipamiento militar. Eso no significa que cada visitante fuese comprometido ni permite deducir una lista de víctimas. Sí explica por qué una dependencia rutinaria de analítica puede convertirse en una pieza de inteligencia: amplía el alcance y coloca el código frente a una audiencia concreta.
Una cadena de distribución, no un único señuelo
La campaña combinó tres vías. En la primera, se inyectaba JavaScript en sitios legítimos. En la segunda, los visitantes podían acabar en dominios parecidos a los reales, con páginas o servicios legítimos como señuelo. En la tercera, el código malicioso se incorporó a la distribución de un proveedor de analítica usado por muchas páginas. El punto común era la confianza: bastaba con visitar un sitio que ya formaba parte de la rutina del usuario.
Sekoia observó cadenas adaptadas a la plataforma del dispositivo y sin necesidad de interacción del usuario. También subraya que no había persistencia: la operación podía obtener información y desaparecer, lo que reduce las señales visibles para una persona que solo comprueba si su teléfono sigue funcionando. La ausencia de persistencia no convierte el riesgo en menor cuando se trata de sesiones, cookies o datos que permiten continuar una intrusión desde otro lugar.