Malwarebytes ha detectado una web falsa de reserva del supuesto iPhone Duo que utiliza la cadena de exploits DarkSword contra iPhones vulnerables. La página ofrece un vale de 500 dólares —unos 48.100 rupias— y busca atraer a quienes quieran reservar el teléfono antes del inicio oficial de las preventas, previsto para el viernes 16 de octubre.
Un vale de 500 dólares y una cuenta atrás de pega
La web imita la estética de Apple y presenta el descuento como una oferta exclusiva de un «Authorized Partner». También muestra un contador regresivo y un formulario para introducir nombre, correo electrónico y teléfono. La combinación de exclusividad, urgencia y descuento busca animar a los visitantes a actuar deprisa.
Malwarebytes observó que la cuenta atrás vuelve a empezar cada vez que se carga la página y que los enlaces a la política de privacidad, las condiciones y la política de ventas no funcionan. No son pruebas concluyentes por sí solas, pero sí señales de alarma.
La campaña se adelanta a las reservas oficiales anunciadas para el 16 de octubre e intenta convencer a la gente de que puede acceder antes. Sin embargo, la página no se limita a recopilar datos mediante el formulario.
Según Malwarebytes, el sitio aprovecha DarkSword para atacar dispositivos vulnerables. No hace falta completar la reserva, descargar una aplicación ni aceptar una instalación para que la visita suponga un riesgo: una cadena de exploits puede eludir algunas protecciones sin el proceso habitual de descargar un archivo sospechoso.
La existencia de esta web no confirma la legitimidad del iPhone Duo ni de ninguna oferta asociada. La campaña se apoya en parecer oficial, pero ese parecido forma parte del engaño.
¿Qué significa que baste con abrir la página?
En una estafa corriente, el objetivo suele ser que la víctima entregue información, revele una contraseña o instale algo. Según el análisis de Malwarebytes, DarkSword puede empezar a actuar al abrir la página en un iPhone vulnerable, sin que el usuario envíe el formulario o apruebe manualmente una instalación.
Eso no significa que cualquier iPhone que visite el sitio vaya a quedar infectado. La amenaza depende de que el dispositivo sea susceptible a las vulnerabilidades que explota la cadena. El estado de actualización del teléfono es, por tanto, un factor clave.
Google informó de DarkSword en marzo y Apple corrigió las vulnerabilidades más tarde ese mismo mes. Para los dispositivos actualizados, esos parches son la principal barrera frente a los fallos conocidos descritos en el informe. El riesgo puede ser mayor en teléfonos que no reciben soporte o cuyas actualizaciones se han aplazado.
La víctima no ve necesariamente una descarga ni una ventana pidiendo permisos: puede creer que solo está consultando una oferta de preventa. Por eso, este tipo de ataque puede pasar inadvertido durante una navegación normal.
Conviene mantener iOS actualizado y verificar las reservas y promociones en los canales oficiales de Apple, en lugar de confiar en un enlace recibido por mensaje.
Lo que DarkSword intenta llevarse
Según Malwarebytes, el código malicioso puede recopilar identificadores del dispositivo, revisar las aplicaciones instaladas y tratar de acceder al contenido guardado en Apple Notes. Ese reconocimiento puede ayudar a perfilar el teléfono antes de buscar información más delicada. La actividad descrita apunta a datos personales y financieros.
Entre los objetivos aparecen aplicaciones de criptomonedas como MetaMask, Phantom, Trust Wallet, Coinbase Wallet, Exodus y Tonkeeper. El informe señala que el malware intenta localizar esas aplicaciones y acceder a archivos asociados; no demuestra que pueda vaciar automáticamente las carteras ni que todos sus usuarios vayan a perder fondos.
La cadena también intenta extraer credenciales guardadas en el Keychain del iPhone. Si identifica una cartera objetivo y logra comunicarse con el servidor de los atacantes, trata de subir archivos de billetera, credenciales extraídas y miniaturas de fotos. Así, el riesgo puede ir más allá del saldo visible en una aplicación: las credenciales reutilizadas o los archivos de respaldo podrían afectar a otras cuentas y servicios.
Una transferencia de criptomonedas realizada con credenciales comprometidas puede ser difícil o imposible de revertir. También pueden resultar útiles para ataques posteriores otros datos del teléfono, como fotografías, notas o correos, aunque no parezcan financieros a primera vista.
Una cuenta de correo comprometida, las contraseñas guardadas o la información personal también pueden abrir la puerta a otros fraudes. El informe describe intentos de acceso a esos datos, no confirma que todos hayan tenido éxito.
El teléfono no es el único dato en juego
Además de las carteras y las credenciales, Malwarebytes señala que el payload puede intentar acceder a mensajes, contactos, registros de llamadas, mensajes de voz, correos, citas del calendario y datos de ubicación almacenados en caché. También puede comunicarse con su servidor para recibir instrucciones adicionales.
La posibilidad de recibir nuevas instrucciones significa que la actividad no tiene por qué limitarse a una inspección inicial de archivos. El informe describe capacidades que podrían afectar a distintos tipos de información, pero eso no implica que cada dato de cada teléfono se haya extraído con éxito.
Los metadatos personales también pueden tener valor: un calendario puede revelar rutinas; los contactos, relaciones; y los registros de llamadas, vínculos con empresas o familiares. La ubicación almacenada en caché añade contexto. En conjunto, esos datos pueden servir para elaborar un perfil del propietario y preparar fraudes más personalizados.
La página falsa solicita datos básicos de contacto, pero la amenaza descrita es más amplia. Por eso, no haber rellenado el formulario no elimina el riesgo si se abrió el sitio desde un iPhone vulnerable. El ataque no depende necesariamente de que la persona entregue esos datos.
El resultado puede depender del dispositivo, de sus parches y de si la cadena logra comunicarse con el servidor. Malwarebytes describe lo que el malware intenta hacer, no garantiza que cada intento tenga éxito.
Qué hacer si recibiste el enlace
No vuelvas a abrir la página ni rellenes el formulario. Borra el enlace y avisa a quien te lo haya enviado; algunas campañas se propagan a través de contactos conocidos. Comprueba también que el iPhone tenga instalada la versión más reciente de iOS disponible para ese modelo. Apple corrigió las vulnerabilidades de DarkSword después de que Google informara de la cadena en marzo.
Si abriste el sitio, no es posible determinar desde aquí si el teléfono quedó comprometido. La exposición depende de si el dispositivo era vulnerable y de si el ataque tuvo éxito. Revisa tus cuentas importantes y vigila cualquier actividad que no reconozcas, sobre todo si utilizas alguna de las carteras mencionadas o guardas credenciales en el teléfono. Ante indicios concretos de acceso indebido, cambia las contraseñas desde un dispositivo actualizado y consulta los canales oficiales de soporte de los servicios afectados.
Si enviaste el formulario, considera que los operadores de la estafa podrían tener tu nombre, correo y teléfono, incluso si el exploit no funcionó. Desconfía de mensajes posteriores que utilicen esos datos para parecer legítimos, pedir códigos de verificación o urgirte a «proteger» una cuenta.
Para comprobar una promoción, entra directamente en los canales oficiales de Apple en lugar de seguir un enlace recibido. La web detectada por Malwarebytes presenta un contador que se reinicia y enlaces informativos que no funcionan; esos elementos no acreditan que la oferta sea auténtica.
