Ver el código de «Campaña de Ciberespionaje DarkSword contra Ucrania»

Campaña de Ciberespionaje DarkSword contra Ucrania es el nombre que recibe una operación de ciberespionaje atribuida a un actor vinculado al gobierno ruso (rastreado como UNC6353). La campaña, descubierta en marzo de 2026, utiliza un sofisticado kit de explotación (exploit kit) para iOS denominado DarkSword en ataques de tipo "watering hole" dirigidos a usuarios ucranianos. El objetivo es robar una amplia gama de datos personales, credenciales, información de ubicación y, potencialmente, criptomonedas de los iPhones comprometidos.

== Nombres Alternativos / Aliases ==

* Operación DarkSword (Por el nombre del kit de exploits)
* Ataques UNC6353 con DarkSword (Por el actor de amenaza)
* Campaña de Explotación iOS 18.4-18.7 (Por las versiones vulnerables)

== Fecha de Detección / Actividad ==

* Inicio de la Explotación (Día Cero): Al menos desde diciembre de 2025 (según Google).
* Fecha de Divulgación Pública: 18 de marzo de 2026 (Reportado por TechCrunch, Google e iVerify).
* Estado: Parcheada por Apple. Se recomienda la aplicación inmediata de actualizaciones.

== Actor de Amenaza (Atribución) ==

* Atribución: UNC6353 (según Google y Lookout). Se sospecha firmemente que actúa en interés del gobierno ruso.
* Tipo de Actor: Patrocinado por un estado / Ciberespionaje, con posible motivación financiera secundaria.
* Motivación: Espionaje (recopilación de inteligencia sobre ciudadanos ucranianos) y, potencialmente, robo financiero (criptomonedas).
* Sofisticación: Muy Alta. Uso de una cadena de exploits con múltiples vulnerabilidades de día cero y previamente desconocidas, herramientas modulares y capacidad para operar en memoria sin dejar persistencia.

== Resumen Ejecutivo ==
A principios de 2026, se descubrió que el grupo de espionaje ruso UNC6353 estaba llevando a cabo una campaña de ataques de tipo "watering hole" contra ciudadanos ucranianos. Los atacantes comprometieron sitios web legítimos ucranianos para inyectar código malicioso que redirigía a los visitantes con iPhones a un servidor controlado por los atacantes. Este servidor desplegaba el kit de exploits DarkSword, una cadena de exploits "sin clic" (o de un clic) diseñada para comprometer completamente los iPhones con versiones iOS 18.4 a 18.7.

DarkSword utiliza seis vulnerabilidades diferentes para eludir las defensas de iOS, ejecutar código malicioso con privilegios de núcleo (kernel) y, finalmente, inyectar un malware de robo de datos (denominado GHOSTBLADE) en procesos legítimos del sistema como <code>SpringBoard</code> o <code>securityd</code>. Este malware opera rápidamente en la memoria del dispositivo para extraer mensajes, contactos, contraseñas de WiFi, datos de llaveros (keychain), archivos de iCloud y, curiosamente, archivos de aplicaciones de criptomonedas, antes de autodestruirse. El descubrimiento de DarkSword, tras el hallazgo del exploit kit Coruña también usado por UNC6353, sugiere que el software espía avanzado para iPhone es más accesible de lo que se creía.

== Vectores de Ataque ==

* Ataque de "Watering Hole" (Punto de Agua): El vector de ataque principal. Los atacantes comprometen sitios web de confianza que las víctimas potenciales (ciudadanos ucranianos) visitan con frecuencia. Los sitios identificados incluyen <code>novosti[.]dn[.]ua</code> y <code>7aac[.]gov[.]ua</code>.
* Explotación "Sin Clic" / "Un Clic": Al visitar el sitio web comprometido, el iPhone de la víctima es infectado automáticamente (o tras una interacción mínima como un clic) por la cadena de exploits DarkSword sin necesidad de más interacción del usuario.

== Técnicas, Tácticas y Procedimientos (TTPs) ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica
!Descripción / Implementación
|-
|Acceso Inicial (TA0001)
|Drive-by Compromise (T1189)
|Compromiso de sitios web legítimos ucranianos para servir el código malicioso inicial (<code>watering hole</code>).
|-
|Ejecución (TA0002)
|Exploitation for Client Execution (T1203)
|Uso de la cadena de exploits DarkSword (múltiples vulnerabilidades) para lograr ejecución de código en el dispositivo.
|-
|Persistencia (TA0003)
|[No aplica]
|La campaña está diseñada para ser un robo rápido y único. No se han observado mecanismos de persistencia.
|-
|Evasión de Defensas (TA0005)
|Execution Guardrails (T1480)
|El exploit solo se entrega a víctimas con direcciones IP de Ucrania, lo que actúa como un guardarraíl para limitar la detección global.
|-
|Evasión de Defensas (TA0005)
|Indicator Removal on Host (T1070)
|El malware GHOSTBLADE contiene código específico para eliminar informes de fallos (crash reports) del sistema (<code>deleteCrashReports()</code>) para ocultar las huellas de la explotación fallida.
|-
|Descubrimiento (TA0007)
|System Information Discovery (T1082) / File and Directory Discovery (T1083)
|El malware GHOSTBLADE enumera el dispositivo, busca archivos específicos (bases de datos de SMS, contactos, etc.) y lista aplicaciones instaladas para localizar billeteras de criptomonedas.
|-
|Recolección (TA0009)
|Data from Local System (T1005) / Email Collection (T1114) / Credentials from Password Stores (T1555)
|GHOSTBLADE recolecta activamente una enorme cantidad de datos locales: SMS/iMessage (sms.db), historial de llamadas, contactos, notas, calendario, fotos, datos de salud, llaveros (keychain-2.db), contraseñas de WiFi y datos de aplicaciones de mensajería como Telegram y WhatsApp.
|-
|Mando y Control (TA0011)
|Ingress Tool Transfer (T1105) / Web Protocols (T1071.001)
|El malware GHOSTBLADE se comunica con su servidor de exfiltración (<code>sqwas[.]shapelie[.]com</code>) mediante peticiones HTTP para subir los datos robados.
|-
|Exfiltración (TA0010)
|Exfiltration Over C2 Channel (T1041)
|Todos los datos recolectados son empaquetados y enviados al servidor de C2 a través del mismo canal de comunicación.
|}

== Flujo de Ataque (Kill Chain) ==

# Preparación: El actor UNC6353 compromete sitios web ucranianos legítimos (ej. <code>novosti[.]dn[.]ua</code>) e inyecta un <code><script></code> malicioso que apunta a su infraestructura (<code>static[.]cdncounter[.]net</code>).
# Entrega ("Watering Hole"): Un usuario ucraniano con un iPhone vulnerable (iOS 18.4-18.7) visita el sitio web comprometido.
# Explotación (DarkSword): El script malicioso dirige el navegador del iPhone a través de una cadena de exploits:
#* RCE (Ejecución Remota de Código): Explota vulnerabilidades en JavaScriptCore (CVE-2025-31277 o CVE-2025-43529) para obtener control del proceso WebContent de Safari.
#* Escapada del Sandbox: Utiliza dos exploits (CVE-2025-14174 y CVE-2025-43510) para saltar del sandbox de Safari a procesos con más privilegios como el de GPU y <code>mediaplaybackd</code>.
#* Escalada de Privilegios: Finalmente, usa CVE-2025-43520 para obtener privilegios de núcleo (root) en el dispositivo.
# Carga del Malware: Con control total, el exploit inyecta el malware GHOSTBLADE en memoria dentro de procesos legítimos del sistema como <code>SpringBoard</code>, <code>securityd</code>, <code>wifid</code> o <code>UserEventAgent</code>.
# Recolección y Exfiltración ("Robo Relámpago"): GHOSTBLADE ejecuta sus módulos para localizar y robar una vasta cantidad de datos (ver tabla de recolección). Toda la información es comprimida y enviada al servidor de C2 del atacante.
# Limpieza: El malware elimina los archivos temporales creados durante la exfiltración y, en algunos casos, los reportes de fallo para cubrir sus huellas. No deja persistencia, por lo que un reinicio del dispositivo limpia la infección, pero los datos ya han sido robados.

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Ejemplos / Características
!Propósito
|-
|Sitios Web Comprometidos ("Watering Holes")
|<code>novosti[.]dn[.]ua</code>, <code>7aac[.]gov[.]ua</code>
|Servir como primera etapa del ataque y redirigir a los usuarios a los servidores de los atacantes.
|-
|Servidor de Distribución de Exploits
|<code>static[.]cdncounter[.]net</code> (alojado en Estonia)
|Alojar el script malicioso (<code>widgets.js</code>) y todas las etapas del kit de exploits DarkSword (<code>rce_loader.js</code>, <code>rce_worker_18.6.js</code>, <code>sbx0_main.js</code>, <code>pe_main.js</code>, etc.).
|-
|Servidor de Exfiltración (C2)
|<code>sqwas[.]shapelie[.]com</code>
|Recibir y almacenar los datos robados por el malware GHOSTBLADE desde los dispositivos infectados.
|}

== Objetivos y Sectores Atacados ==

* Objetivo Principal: Ciudadanos y residentes de Ucrania.
* Alcance: Geográficamente restringido a Ucrania. El servidor de exploits verificaba la dirección IP de la víctima antes de entregar la carga maliciosa.
* Sectores: No específico, pero los sitios web comprometidos (uno de noticias y uno gubernamental) sugieren un interés amplio en la población general y en entidades estatales.

== Impacto y Riesgo ==

* Nivel de Riesgo: Crítico para usuarios de iPhone en Ucrania con versiones de iOS sin parchear entre la 18.4 y la 18.7.x.
* Impacto en la Confidencialidad: Pérdida masiva de datos personales y privados, incluyendo comunicaciones (SMS, WhatsApp, Telegram), contactos, ubicaciones históricas, credenciales de acceso (llavero), datos financieros (aplicaciones de criptomonedas) y archivos personales (fotos, notas).
* Impacto en la Integridad: No es el objetivo principal de esta campaña, pero el acceso inicial podría ser utilizado para otros fines maliciosos.
* Impacto en la Disponibilidad: No se busca en esta campaña. De hecho, el malware intenta no causar disrupciones y se autodestruye.
* Carácter de la Amenaza: Operación de espionaje dirigida y sigilosa que pone en riesgo la privacidad y seguridad de los ciudadanos ucranianos, permitiendo al gobierno ruso acceder a información sensible de sus objetivos.

== Recomendaciones de Mitigación ==

* Recomendaciones Técnicas (Mitigación)
** Actualizar iOS Inmediatamente: Esta es la medida más crítica. Apple ha corregido todas las vulnerabilidades explotadas por DarkSword en iOS 18.7.6 e iOS 26.3.1. Se debe actualizar cualquier dispositivo a estas versiones o superiores sin demora.
** Activar el Modo Lockdown (Bloqueo): Para usuarios de alto riesgo, como periodistas, disidentes o funcionarios en Ucrania, activar el Modo Lockdown en sus iPhones puede bloquear de forma preventiva este tipo de cadenas de exploits, incluso en versiones no parcheadas.
** Concienciación sobre "Watering Holes": Ser consciente de que visitar sitios web de confianza no es garantía de seguridad. Las actualizaciones de seguridad son la principal defensa.

== Herramientas de Detección ==

* Soluciones de Seguridad Móvil (Mobile EDR/MTD): Herramientas como iVerify pueden detectar infecciones activas de DarkSword en el dispositivo mediante el análisis de comportamientos anómalos y artefactos en el sistema de archivos.
* Análisis Forense (MVT - Mobile Verification Toolkit): Herramientas como MVT pueden analizar copias de seguridad o volcados del sistema de archivos para encontrar indicadores de compromiso, como los dominios de los servidores maliciosos en el historial de Safari.
* Monitorización de Red: La detección de tráfico saliente hacia los dominios de exfiltración (<code>sqwas[.]shapelie[.]com</code>) desde un dispositivo móvil en la red corporativa sería un fuerte indicador de compromiso.

== Indicadores de Compromiso (IOCs) ==
Indicadores de Red (Network IOCs)
{| class="wikitable"
!Tipo
!Indicador
!Actor / Contexto
|-
|Dominio
|<code>snapshare[.]chat</code>
|UNC6748 (entrega de DarkSword en Arabia Saudita)
|-
|Dominio
|<code>sahibndn[.]io</code>
|PARS Defense (entrega de DarkSword en Turquía)
|-
|Dominio
|<code>e5.malaymoil[.]com</code>
|PARS Defense (entrega de DarkSword en Malasia)
|-
|Dominio
|<code>static[.]cdncounter[.]net</code>
|UNC6353 (servidor de entrega de DarkSword para Ucrania)
|-
|Dominio
|<code>sqwas[.]shapelie[.]com</code>
|UNC6353 (servidor de exfiltración de GHOSTBLADE)
|-
|IP
|<code>62.72.21[.]10</code>
|UNC6748 (Servidor C2 de GHOSTKNIFE)
|-
|IP
|<code>72.60.98[.]48</code>
|UNC6748 (Servidor C2 de GHOSTKNIFE)
|}
Indicadores de Archivo (Host IOCs)

* Hash (SHA-256): <code>2e5a56beb63f21d9347310412ae6efb29fd3db2d3a3fc0798865a29a3c578d35</code> (Muestra de GHOSTBLADE)
* Rutas de Archivo (Artefactos en el sistema de archivos):
** <code>/private/var/tmp/keychain-2.db</code>
** <code>/private/var/tmp/wifi_passwords.txt</code>
** <code>/private/var/tmp/icloud_dump/</code>
** <code>/private/var/Keychains/keychain_dump.txt</code>
** <code>/private/var/containers/Shared/SystemGroup/systemgroup.com.apple.osanalytics/DiagnosticReports/</code> (directorio eliminado por el malware)

== Referencias y Fuentes ==

* Franceschi-Bicchierai, L. (2026, Marzo 18). ''Russos sorprendidos robando datos personales de ucranianos con nuevas herramientas avanzadas para piratear iPhones''. TechCrunch.
* Google Threat Intelligence Group (GTIG). (2026, Marzo 18). ''La proliferación de DarkSword: Cadena de exploits para iOS adoptada por múltiples actores maliciosos''. Google Cloud Blog.
* iVerify. (2026, Marzo 18). ''DarkSword: A New iOS Exploit Chain Used Against Ukrainians''. iVerify Blog.
* Lookout. (2026, Marzo 18). ''Threat Actor UNC6353 Deploys DarkSword Exploit Kit Against Ukrainian Targets''. Lookout Blog.
* MITRE ATT&CK Framework: Mapeo de TTPs (T1189, T1203, T1070, T1005, T1555, T1041, etc.).

=== Historial de Revisiones ===
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-03-19
|1.0
|Wiki Editor (Basado en informes de TechCrunch, Google e iVerify)
|Creación inicial de la entrada en la wiki.
|}

== Etiquetas / Categorías ==
<code>ciberespionaje</code> <code>darksword</code> <code>unc6353</code> <code>ios</code> <code>iphone</code> <code>0-day</code> <code>vulnerabilidad-critica</code> <code>watering-hole</code> <code>ransomware</code> <code>ghostblade</code> <code>rusia</code> <code>ucrania</code> <code>t1189</code> <code>t1203</code> <code>ciberwiki</code> <code>threat-intelligence</code> <code>dfir</code> <code>apple</code> <code>google</code> <code>iverify</code>