Los expertos en ciberseguridad de Sekoia han descrito una nueva campaña de ataque contra dispositivos iOS y Android. Lo llamativo es el método para comprometer los equipos Android: para infectar el dispositivo no hacía falta descargar un APK, visitar enlaces sospechosos ni conceder permisos a ninguna aplicación.
Bastaba con abrir una página web infectada. El ataque se apoya en dos vulnerabilidades:
La vulnerabilidad CVE-2026-3910 en Google Chrome. Permite a los atacantes ejecutar código propio dentro de Chrome con solo hacer que el navegador procese una página web preparada al efecto.
La vulnerabilidad CVE-2025-27038 en el controlador de la GPU Adreno de Qualcomm. Sirve para escapar del entorno aislado de Chrome y acceder al propio dispositivo.
Tras visitar la página web infectada, los hackers instalan un programa malicioso que los expertos han bautizado como AndroSnitch. Este copia las cookies de Chrome, los datos de inicio de sesión guardados y el historial de navegación, así como el archivo de configuración de Wi-Fi del dispositivo, que contiene las contraseñas de las redes conectadas. De este modo, los atacantes acceden a las cuentas de usuario que ya tenían la sesión iniciada.
Las vulnerabilidades ya están cerradas. El ataque solo afecta a Chrome de las versiones 139 a 145 y, por algún motivo, no funciona en la 143, según Sekoia. La vulnerabilidad de Qualcomm, por su parte, se corrige con las actualizaciones de seguridad del propio dispositivo.
Los investigadores también han observado que el exploit dejaba de funcionar si detectaba un Galaxy S25 Ultra. Se desconocen los motivos de esta excepción.