El 4 de noviembre de 2026, Sekoia publicó una investigación sobre Poisoned Source, una campaña que dirigió cadenas de explotación a móviles mediante tres rutas web. El análisis describió una huella digital de 394 campos, pero las comprobaciones que podían frenar la entrega se centraban en características básicas del dispositivo. Sekoia detectó la actividad a mediados de octubre y publicó sus hallazgos en su informe técnico.

Tres rutas web y una visita necesaria

Sekoia describió tres vías para llevar la campaña hasta los móviles:

  • Código JavaScript inyectado en sitios web legítimos.
  • Sitios falsos que actuaban como proxies inversos y modificaban el HTML de las páginas.
  • El rastreador de analítica de Plerdy, comprometido para cargar un script controlado por los atacantes.

La persona tenía que visitar una página afectada, pero la cadena podía avanzar sin otro clic ni una descarga.

Qué hacía la huella de 394 campos

El script personalizado UltimateFingerprinter usaba 61 recolectores para reunir 394 campos en formato JSON. Sekoia observó que comprobaciones sencillas de anchura y altura de pantalla y del número de puntos táctiles podían bloquear la entrega si los valores resultaban inverosímiles. No encontró indicios de que la mayoría de los demás campos determinara qué exploit se enviaba o se reutilizara después en la infección.

La huella reunía 394 campos; las comprobaciones observadas que podían frenar la entrega se referían a dimensiones de pantalla y puntos táctiles.

Las cadenas de explotación para iOS y Android

Sekoia analizó dos clases de cadena para iOS y una para Android. Sus versiones y vulnerabilidades eran distintas:

  • Clase A, iOS: la tabla resumen de Sekoia identifica iOS 16.7. El análisis técnico señala que la cadena podía funcionar en iOS 16.0–17.4, mientras que el servidor de entrega filtraba para iOS 16.7 y 16.7.10. La cadena combinaba CVE-2025-43529 y CVE-2024-27834, y buscaba robar cookies del navegador y de aplicaciones.
  • Clase B, iOS 18.5: empleaba CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 y CVE-2025-43520. Sekoia informó de la extracción de mensajes, correo y buzón de voz; bases de datos de mensajería; credenciales y tokens; datos de redes Wi-Fi; contactos; historial de llamadas; calendario y notas; cachés relacionadas con la ubicación, y archivos multimedia.
  • Clase C, Android: apuntaba a Chrome 139–145, salvo la versión 143, y usaba CVE-2026-3910 y CVE-2025-27038. El payload AndroSnitch buscaba cookies, credenciales guardadas e historial de Chrome, además de datos de configuración Wi-Fi y contraseñas guardadas.

El alcance de Plerdy y el número de dispositivos afectados

Sekoia situó el compromiso del rastreador de Plerdy entre el 27 de agosto y el 3 de septiembre de 2026. Según su informe, miles de sitios cargaban el rastreador y la mayoría estaban en Ucrania. El número de dispositivos que llegaron a comprometerse con éxito no se ha cuantificado.

La atribución y el alcance de los parches

Sekoia evaluó con confianza moderada-alta que APT29, o uno de sus subgrupos, llevó a cabo Poisoned Source. La evaluación se apoyó en coincidencias técnicas, patrones operativos, el perfil de las víctimas y la infraestructura.

Las tres cadenas descritas dependían de vulnerabilidades conocidas que ya tenían parches; Sekoia indicó que no funcionaban contra dispositivos completamente actualizados. La empresa también señaló que los payloads observados no establecían persistencia.