Hackers exploraram falhas em iOS e Android para infectar celulares

Segundo pesquisadores da Sekoia, a campanha começava quando um usuário de iPhone ou Android acessava um de potencialmente centenas de sites. Um JavaScript injetado no tráfego traçava o perfil do navegador e do aparelho, e a partir disso o atacante entregava uma de três cadeias de exploits zero-click, sem nenhuma interação da vítima. Os payloads, adaptados à plataforma, tentavam roubar cookies do navegador e, em alguns casos, senhas de Wi-Fi e dados completos do dispositivo.

Foram três vetores: injeção direta de JavaScript no tráfego de sites legítimos, domínios proxy (como america250[.]holiday, reverse proxy do america250.org, e theowo[.]club, que espelhava o site de um hotel de luxo em Londres próximo a instituições do governo britânico) e o comprometimento da cadeia de suprimentos de um serviço ucraniano de análise web que atende milhares de sites. Uma grande produtora de gás da Ucrânia também foi usada como site comprometido. O JavaScript era o mesmo nos três casos. Uma das cadeias era o DarkSword, kit para iOS que, segundo o Google, clientes da PARS Defense (fornecedora turca de vigilância comercial) e ao menos outros dois atores já usaram. As outras duas não foram nomeadas. A Sekoia atribui a ação ao Serviço de Inteligência Externa da Rússia com confiança "moderada a alta", com base no perfil dos alvos e em semelhanças com um ataque anterior atribuído ao APT29. Todas as falhas eram n-days, ou seja, já corrigidas: só aparelhos desatualizados eram afetados.

Em 24 de março de 2026, o CEVIU publicou "DarkSword e o Dilema do LLM: O Que Todos Mencionaram, Mas Ninguém Explorou", descrevendo o DarkSword como kit baseado em JavaScript que encadeava seis CVEs, três deles zero-days, contra iOS 18.4 a 18.7. Agora o mesmo kit aparece em uso por um grupo provavelmente russo, com as falhas já corrigidas. Em 5 de março de 2026, o CEVIU também noticiou o "Exploit kit Coruna compromete iPhones e rouba carteiras crypto", que teria sido usado inicialmente por grupos russos contra ucranianos. O padrão de kits de exploit para iOS circulando entre vários atores se repete.

Para quem opera segurança corporativa, a leitura é direta: como tudo era n-day, atualizar iOS e Android é a mitigação que bloqueia a campanha. Para equipes que protegem pessoas de perfil diplomático, jornalistas ou funcionários ligados à Ucrânia, vale tratar frota móvel desatualizada como risco real, e considerar que sites de análise de terceiros podem virar vetor de ataque.