Una nueva campaña de ciberataques está utilizando miles de sitios web legítimos para distribuir programas maliciosos capaces de vulnerar dispositivos iPhone y acceder a monederos de criptomonedas, mediante un mecanismo que puede activarse simplemente al visitar una página infectada o visualizar determinados anuncios digitales.
La operación fue descubierta por investigadores de las empresas de ciberseguridad Report URI e iVerify, quienes identificaron al menos 6,600 sitios web comprometidos que, en conjunto, registran aproximadamente 49 millones de visitas mensuales.
De ese universo, 248 páginas, con alrededor de 8 millones de visitas al mes, fueron identificadas como distribuidoras directas de código malicioso dirigido a dispositivos Apple, mientras que el resto redirige a los visitantes hacia páginas de publicidad engañosa y contenido no solicitado.
La principal preocupación de los especialistas es que las víctimas no necesariamente tienen que ingresar a plataformas fraudulentas, descargar aplicaciones desconocidas o proporcionar voluntariamente sus contraseñas. El ataque puede comenzar durante una actividad cotidiana de navegación, incluso dentro de sitios que anteriormente eran considerados seguros.
“Los usuarios no están visitando sitios web maliciosos. No están haciendo nada indebido. Simplemente están navegando por una página y terminan infectados”, explicó a Forbes Rocky Cole, director ejecutivo y cofundador de iVerify.
Una red invisible dentro de páginas legítimas
La investigación comenzó cuando Scott Helme, fundador y director ejecutivo de Report URI, detectó que cientos de sitios web ejecutaban código diseñado para comprometer dispositivos iPhone.
Los delincuentes aprovecharon dominios que habían quedado inactivos y componentes de programación obsoletos para introducir instrucciones maliciosas dentro de páginas legítimas, sin que necesariamente sus administradores estuvieran enterados.
Este mecanismo permite que los atacantes utilicen la infraestructura de sitios con tráfico real para alcanzar a un número considerable de usuarios.
Los investigadores identificaron al grupo responsable de esta red con el nombre de DeadTag, una organización que presuntamente comercializa entre otros ciberdelincuentes la posibilidad de distribuir contenido malicioso mediante los espacios digitales comprometidos.
Según Helme, la agrupación incorpora hasta 10 dominios nuevos por semana, lo que dificulta contener la operación y localizar todos los puntos desde los cuales se distribuye el código.
La investigación también encontró un caso en el que un anuncio con contenido malicioso fue mostrado a través de Instagram, lo que evidencia que las plataformas de publicidad digital pueden convertirse en canales de exposición para este tipo de ataques.
Sin embargo, la presencia de código malicioso en una página o anuncio no significa que todos sus visitantes hayan sido infectados. Para comprometer un dispositivo deben cumplirse determinadas condiciones técnicas, entre ellas la existencia de vulnerabilidades aprovechables en su sistema operativo.
Buscan vaciar monederos de criptomonedas
Uno de los principales objetivos de la campaña es acceder a dispositivos que almacenan aplicaciones o credenciales relacionadas con criptomonedas.
Los investigadores identificaron que algunos clientes de DeadTag utilizan herramientas especializadas, conocidas como *kits de exploits*, capaces de aprovechar fallas de seguridad en el sistema operativo iOS.
De acuerdo con el análisis, dos de estos paquetes de ataque aparentemente proceden de herramientas que anteriormente habrían sido utilizadas por organismos de inteligencia gubernamentales y que posteriormente quedaron al alcance de grupos criminales.
Los especialistas señalaron que los ciberdelincuentes han utilizado estos recursos desde la primavera de este año, concentrándose especialmente en teléfonos que mantienen versiones desactualizadas del sistema operativo.
Apple ya había corregido las vulnerabilidades explotadas por estas herramientas, pero los dispositivos que no instalaron las actualizaciones correspondientes pueden continuar expuestos.
Además, Helme encontró indicios de que los responsables de la campaña preparaban modificaciones para incorporar nuevas herramientas capaces de aprovechar vulnerabilidades más recientes.
Esto no confirma que actualmente dispongan de métodos funcionales para vulnerar las versiones más actualizadas de iOS, pero revela la intención de mantener activa la operación conforme cambien las protecciones de seguridad.
¿Cómo proteger un iPhone de estos ataques?
Aunque los investigadores advierten que el riesgo puede surgir durante una navegación aparentemente normal, mantener actualizado el sistema operativo continúa siendo una de las medidas más importantes para reducir la exposición.
Los usuarios pueden revisar la versión instalada desde el apartado Configuración, General y Actualización de software, donde Apple informa si existen correcciones pendientes.
También resulta recomendable mantener actualizados los navegadores y las aplicaciones, evitar instalar perfiles de configuración desconocidos y prestar atención a comportamientos inusuales del dispositivo.
Para quienes utilizan criptomonedas, los especialistas en seguridad recomiendan extremar las precauciones con las claves privadas y frases de recuperación, que nunca deben compartirse ni introducirse en páginas cuya autenticidad no esté plenamente verificada.
En casos donde se administran cantidades importantes de activos digitales, utilizar dispositivos físicos especializados para resguardar las claves puede reducir determinados riesgos asociados con el compromiso de teléfonos y computadoras.
