Anuncios maliciosos en Instagram infectan iPhones con spyware sin un solo toque
Un anuncio trampa en Instagram fue sorprendido infectando con spyware el iPhone de un empleado mientras este no hacía más que desplazarse por su feed. El anuncio, con temática del Mundial de fútbol, entregó una variante del kit de exploits para iOS DarkSword. No hizo falta tocar nada, descargar nada ni instalar ninguna aplicación.
Qué ocurrió
La infección salió a la luz durante la revisión del teléfono personal de un empleado en una organización que utiliza detección de amenazas móviles. El anuncio se cargó en el feed de Instagram y la cadena de exploits se ejecutó sola, sin ninguna señal visible para el usuario. Más tarde, la misma persona volvió a ser atacada con otra variante de DarkSword, esta vez mediante un enlace malicioso enviado por lo que parece ser un grupo distinto.
El ataque se describe mejor como de "medio clic": la víctima debe estar en una página o plataforma donde aparezca el anuncio, pero no tiene que hacer nada más. No se trata de un ataque sin interacción contra un teléfono inactivo, y no se ha demostrado que funcione contra iPhones totalmente actualizados. Los dos kits observados en esta campaña, DarkSword y Coruna, apuntan a versiones antiguas de iOS. El código contiene marcadores para versiones recientes, pero ningún exploit funcional para ellas.
Se desconoce cómo superó el anuncio la revisión de Meta. Las explicaciones posibles incluyen contenido publicitario encubierto que se comporta de forma distinta durante la revisión, el abuso de revendedores de publicidad o un proveedor publicitario comprometido. Ninguna está confirmada, y nada apunta a un fallo en Instagram en sí. Instagram fue simplemente el canal de entrega.
El dominio que sirvió el anuncio malicioso fue ad-track[.]live (escrito así a propósito para evitar accesos accidentales).
Una segunda vía de entrega: etiquetas olvidadas en sitios web
El mismo grupo opera un esquema de distribución más amplio, rastreado como DeadTag. Compra dominios caducados que pertenecieron a servicios de analítica y publicidad. Miles de sitios web siguen cargando scripts desde esos dominios a través de etiquetas que nadie eliminó. Una vez que los atacantes poseen el dominio, cada uno de esos sitios se convierte silenciosamente en un redirector, sin que ninguno haya sido hackeado directamente.
Se han identificado cientos de dominios reregistrados, con un tráfico estimado de 135 millones de visitas mensuales a sitios capaces de servir el spyware cuando el visitante cumple los criterios de selección. Esa cifra mide la exposición potencial, no las infecciones confirmadas. La mayoría de los visitantes redirigidos acaban en estafas corrientes. Los usuarios de iPhone seleccionados, con versiones vulnerables de iOS, reciben en su lugar Coruna o DarkSword.
También se encontraron cargadores de DarkSword plantados en cientos de tiendas online PrestaShop, ocultos en carpetas que imitan componentes de analítica. Algunas de esas rutas llevaban a una página falsa de Polymarket usada como señuelo.
Qué roba el spyware
Las variantes observadas buscan contraseñas del llavero (keychain), información del dispositivo y monederos de criptomonedas, entre ellos Binance, Coinbase Wallet, OKX, Bitget, Trust Wallet, Exodus, TronLink y Bitpie. Ambos kits también pueden recolectar mensajes, contactos, datos de ubicación y contraseñas guardadas.
El robo financiero parece ser el motivo principal. Los comentarios en chino dentro del código y la infraestructura asociada apuntan a operadores de habla china, pero eso no establece una nacionalidad ni vínculo estatal alguno. Los operadores de DeadTag siguen sin identificar.
Por qué importa
Para una empresa, la lección es que un teléfono personal es ahora una fuente creíble de credenciales corporativas, incluso cuando el empleado nunca abrió un adjunto ni aprobó una instalación. En el caso descrito, las alertas casi en tiempo real permitieron al equipo de seguridad rotar las credenciales expuestas antes de que los accesos robados pudieran venderse o usarse contra los sistemas de la empresa. Sin esa visibilidad, la primera señal habría sido un inicio de sesión desde donde no debía.
Para los propietarios de sitios web, la lección es que cada etiqueta de script de terceros es una deuda pendiente. Una etiqueta añadida por una agencia de marketing con la que ya no se trabaja puede volverse contra sus visitantes años después, sin ningún cambio en su propio código.
Qué hacer
Usuarios de iPhone y administradores de dispositivos móviles
- Instale las actualizaciones de iOS cuanto antes; los kits observados hasta ahora solo funcionan en versiones antiguas.
- Las personas de alto riesgo (directivos, periodistas, poseedores de criptomonedas) deberían valorar el Modo Hermético (Lockdown Mode), aceptando sus restricciones.
- Si sospecha de un compromiso, conserve los registros antes de reiniciar el dispositivo, cambie las credenciales expuestas y traslade las criptomonedas a monederos nuevos con frases de recuperación nuevas.
Propietarios de sitios web
- Haga inventario de cada script externo que cargan sus páginas y elimine las etiquetas que ya no usa.
- Compruebe si los dominios detrás de las etiquetas restantes siguen siendo del proveedor que espera.
- Aplique una Content Security Policy para que un dominio secuestrado no pueda servir código arbitrario.
- Operadores de PrestaShop: auditen las carpetas de módulos y temas en busca de componentes de "analítica" desconocidos.
Los scripts de terceros obsoletos y las referencias a dominios caducados son exactamente el tipo de exposición que se escapa en las revisiones rutinarias. Nuestro servicio de Attack Surface Management mapea de forma continua lo que sus sitios cargan desde el exterior y señala las etiquetas que apuntan a dominios caducados o reregistrados, para que un fragmento olvidado no se convierta en un canal de entrega de spyware hacia sus clientes.