Seguridad5 nov 2026, 15:08 UTC·2 min de lectura

Fallos de Chrome y la GPU Snapdragon, usados para hackear Android

Según Sekoia, unos hackers encadenaron un fallo de Chrome y otro del controlador Adreno de Qualcomm para infectar móviles Android con webs trampa. Ambos ya estaban corregidos.

Imagen: Android Authority

Unos hackers aprovecharon una vulnerabilidad de Chrome y un fallo en el controlador de GPU Adreno de Qualcomm para comprometer móviles Android cuyos usuarios solo abrieron una web manipulada, según la firma de seguridad Sekoia. Ambos errores ya estaban corregidos antes de los ataques, por lo que los teléfonos con Chrome y parches de seguridad al día permanecieron a salvo.

El ataque en Android no requería tocar un enlace, instalar una app ni conceder permisos. Bastaba con abrir la página infectada en una versión desactualizada de Chrome. La cadena comenzaba con CVE-2026-3910, que permitía ejecutar código dentro del navegador. Después se explotaba CVE-2025-27038, en el controlador Adreno, para salir del sandbox de Chrome y obtener un acceso más profundo. Como los gráficos Adreno están en los chips Snapdragon, los afectados eran los móviles con procesadores de Qualcomm.

Qué datos robaba el malware

El ataque apuntaba a las versiones 139 a 145 de Chrome, aunque omitía la 143 por motivos que Sekoia considera poco claros. En los teléfonos comprometidos, los atacantes instalaban el malware AndroSnitch, que copiaba las cookies, los inicios de sesión guardados y el historial de Chrome, además del archivo de configuración Wi-Fi con las contraseñas de las redes conocidas. Las cookies son especialmente valiosas porque pueden dar acceso a cuentas con la sesión ya iniciada. El código también se detenía si detectaba un Samsung Galaxy S25 Ultra.

Cómo llegaban a las víctimas

Los atacantes inyectaron código malicioso en webs legítimas, crearon copias de sitios reales y comprometieron, entre el 27 de agosto y el 3 de septiembre, un servicio ucraniano de analítica web usado por miles de sitios, en su mayoría ucranianos. Entre las webs falsas había una copia de America250 y otra que imitaba un hotel de lujo de Londres cercano a oficinas del Gobierno británico. Un script perfilaba el dispositivo de cada visitante y le servía el exploit adecuado.

Sekoia vincula la campaña con APT29, grupo asociado al servicio de inteligencia exterior ruso. Los objetivos apuntan a diplomáticos y personas relacionadas con la guerra en Ucrania. También se atacó a iPhone: una cadena robaba cookies en iOS 16 a 17.4 y el exploit DarkSword obtenía mensajes, fotos y contraseñas en iOS 18.5.

Cómo protegerse

Actualiza Chrome desde Google Play y comprueba en Ajustes > Información de Chrome que la versión sea posterior a la 145. Instala además la última actualización de seguridad del teléfono, ya que las correcciones de los controladores de GPU de Qualcomm llegan con los parches mensuales.