AndroSnitch
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
AndroSnitch es un payload final de tipo stealer desplegado por la campaña de APT29. Su función principal es exfiltrar cookies del navegador, contraseñas Wi-Fi y datos comprehensivos del dispositivo sin establecer persistencia en el sistema afectado.
Cómo llega
Entra mediante vectores de watering hole, sitios legítimos comprometidos, suplantación de dominios de alto perfil y compromiso de la cadena de suministro del servicio Plerdy. Explota vulnerabilidades como CVE-2025-43529, CVE-2024-27834, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510, CVE-2025-43520, CVE-2026-3910 y CVE-2025-27038.
Qué hace una vez dentro
Exfiltra cookies del navegador, contraseñas Wi-Fi y datos comprehensivos del dispositivo. No establece persistencia en el equipo. Sus objetivos son de inteligencia, permitiendo el secuestro de sesiones y el acceso a servicios basados en navegador.
A quién ataca
Apunta a dispositivos móviles, específicamente plataformas iOS y Android. La campaña utiliza vectores de watering hole y compromiso de cadena de suministro para alcanzar a usuarios que visitan sitios legítimos comprometidos o servicios de analítica.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Desarrollo de recursos | Domains | T1583.001 |
| Desarrollo de recursos | Domains | T1584.001 |
| Desarrollo de recursos | Server | T1584.004 |
| Desarrollo de recursos | Web Services | T1584.006 |
| Acceso inicial | Drive-by Compromise | T1189 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Escalada de privilegios | Exploitation for Privilege Escalation | T1068 |
| Sigilo | Process Injection | T1055 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials In Files | T1552.001 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Descubrimiento | Account Discovery | T1087 |
| Descubrimiento | System Location Discovery | T1614 |
| Recolección | Data from Local System | T1005 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Automated Collection | T1119 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Grupos que la usan
Uso reportado por AlienVault OTX en un reporte dedicado al arma (nivel presunto). En rojo, los que tienen ficha en nuestro catálogo de villanos. Que un grupo use un arma no quiere decir que todo ataque con ella sea suyo.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2024-27834 | Apple Multiple Products | 5.5 | Sí | AlienVault OTX (presunta) |
| CVE-2025-14174 | Google Chromium | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-24201 | Apple Multiple Products | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2025-27038 | Qualcomm Multiple Chipsets | 7.5 | Sí | AlienVault OTX (presunta) |
| CVE-2025-31277 | Apple Multiple Products | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-43510 | Apple Multiple Products | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-43520 | Apple Multiple Products | 7.1 | Sí | AlienVault OTX (presunta) |
| CVE-2025-43529 | Apple Multiple Products | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-20700 | Apple Multiple Products | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-3910 | Google Chromium V8 | 8.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
