Explicado: Cómo el software espía Pegasus infecta un dispositivo; qué datos pueden verse comprometidos

Proyecto Pegasus: el software espía israelí, que se reveló que se utilizó para atacar cientos de teléfonos en la India, se ha vuelto menos dependiente de los clics. Pegasus puede infectar un dispositivo sin la participación o el conocimiento del objetivo.

Pegasus es el producto estrella de NSO Group (ilustración Express)

En noviembre de 2019, un reportero de tecnología de la ciudad de Nueva York fotografió un dispositivo de interceptación exhibido en Milipol, una feria comercial sobre seguridad nacional en París. El expositor, NSO Group, colocó el hardware en la parte trasera de una camioneta, tal vez sugiriendo la conveniencia de la portabilidad, y dijo que no funcionaría en números de teléfono de EE. UU., Posiblemente debido a una restricción autoimpuesta por la empresa.

Desde que se fundó el gigante cibernético israelí en 2010, esa fue probablemente la primera vez que una estación transceptora base portátil (BTS) fabricada por NSO se presentó en un informe de los medios.

Un BTS, o 'torre celular deshonesta' o 'IMSI Catcher' o 'stingray', se hace pasar por torres celulares legítimas y obliga a los teléfonos móviles dentro de un radio a conectarse a ellas, de modo que el tráfico interceptado pueda ser manipulado por un atacante. El BTS fotografiado en 2019 estaba compuesto por tarjetas apiladas horizontalmente, lo que probablemente permitiría la interceptación en múltiples bandas de frecuencia.

La otra opción es aprovechar el acceso al propio operador de telefonía móvil del objetivo. En ese escenario, un atacante no necesitaría ninguna torre celular deshonesta, sino que dependería de la infraestructura de red habitual para su manipulación.

De cualquier manera, la capacidad de lanzar ataques de 'inyección de red', realizados de forma remota sin la participación del objetivo (por lo tanto, también llamado clic cero ) o conocimiento - dio Pegaso , El producto insignia de NSO Group, una ventaja única sobre sus competidores en el mercado global de software espía.

Pegasus se encuentra ahora en el centro de un proyecto de investigación colaborativa global que ha descubierto que el software espía se utilizó para apuntar, entre otros, cientos de teléfonos móviles en la India .

¿En qué se diferencia Pegasus de otros programas espía?

Pegasus, también conocido como Q Suite, comercializado por NSO Group, también conocido como Q Cyber ​​Technologies, como una solución de inteligencia cibernética líder en el mundo que permite a las agencias policiales y de inteligencia extraer datos de forma remota y encubierta de prácticamente cualquier dispositivo móvil, fue desarrollado por veteranos de las agencias de inteligencia israelíes.

Hasta principios de 2018, los clientes de NSO Group confiaban principalmente en los mensajes SMS y WhatsApp para engañar a los objetivos para que abrieran un enlace malicioso, lo que conduciría a la infección de sus dispositivos móviles. Un folleto de Pegasus describió esto como Mensaje mejorado de ingeniería social (ESEM). Cuando se hace clic en un enlace malicioso empaquetado como ESEM, el teléfono se dirige a un servidor que verifica el sistema operativo y entrega el exploit remoto adecuado.

En su informe de octubre de 2019, Amnistía Internacional documentó por primera vez el uso de 'inyecciones de red' que permitían a los atacantes instalar el software espía sin requerir ninguna interacción por parte del objetivo. Pegasus puede lograr tales instalaciones sin hacer clic de varias maneras. Una opción por aire (OTA) es enviar un mensaje push de forma encubierta que hace que el dispositivo de destino cargue el software espía, sin que el objetivo sea consciente de la instalación sobre la que, de todos modos, no tiene control.

Esto, presume un folleto de Pegasus, es la singularidad de NSO, que diferencia significativamente la solución de Pegasus de cualquier otro software espía disponible en el mercado.

¿Qué tipo de dispositivos son vulnerables?

Todos los dispositivos, prácticamente. Los iPhones han sido ampliamente seleccionados por Pegasus a través de la aplicación iMessage predeterminada de Apple y el protocolo del Servicio de notificaciones push (APN) en el que se basa. El software espía puede hacerse pasar por una aplicación descargada en un iPhone y transmitirse como notificaciones automáticas a través de los servidores de Apple.

En agosto de 2016, Citizen Lab, un laboratorio interdisciplinario con sede en la Universidad de Toronto, informó la existencia de Pegasus a la firma de seguridad cibernética Lookout, y los dos señalaron la amenaza para Apple. En abril de 2017, Lookout y Google publicaron detalles sobre una versión de Android de Pegasus.

En octubre de 2019, WhatsApp culpó al Grupo NSO por explotar una vulnerabilidad en su función de videollamadas. Un usuario recibiría lo que parecía ser una videollamada, pero esta no era una llamada normal. Después de que sonó el teléfono, el atacante transmitió en secreto un código malicioso en un esfuerzo por infectar el teléfono de la víctima con software espía. La persona ni siquiera tuvo que responder la llamada, dijo el jefe de WhatsApp, Will Cathcart.

kevin Durant jet privado

En diciembre de 2020, un informe de Citizen Lab señaló cómo los agentes del gobierno utilizaron a Pegasus para piratear 37 teléfonos pertenecientes a periodistas, productores, presentadores y ejecutivos de Al Jazeera y Al Araby TV con sede en Londres durante julio-agosto de 2020, explotando un día cero ( una vulnerabilidad desconocida para los desarrolladores) contra al menos iOS 13.5.1 que podría piratear el último iPhone 11 de Apple. ataques, dada la propagación global de la base de clientes del Grupo NSO y la aparente vulnerabilidad de casi todos los dispositivos iPhone antes de la actualización de iOS 14.

¿El software espía siempre entra en cualquier dispositivo al que apunta?

Por lo general, un atacante necesita alimentar el sistema Pegasus solo con el número de teléfono de destino para una inyección de red. El resto lo hace automáticamente el sistema, dice un folleto de Pegasus, y el software espía se instala en la mayoría de los casos.

Sin embargo, en algunos casos, es posible que las inyecciones de red no funcionen. Por ejemplo, la instalación remota falla cuando el dispositivo de destino no es compatible con el sistema NSO, o su sistema operativo se actualiza con nuevas protecciones de seguridad.

Aparentemente, una forma de esquivar a Pegasus es cambiar el navegador predeterminado del teléfono. Según un folleto de Pegasus, el sistema no admite la instalación desde navegadores que no sean los predeterminados del dispositivo (y también Chrome para dispositivos basados ​​en Android).

En todos estos casos, la instalación se cancelará y el navegador del dispositivo de destino mostrará una página web inocua predeterminada para que el destino no tenga ni idea del intento fallido. A continuación, es probable que un atacante recurra a los cebos de clic de ESEM. Si todo lo demás falla, dice el folleto, Pegasus puede inyectarse e instalarse manualmente en menos de cinco minutos si un atacante obtiene acceso físico al dispositivo objetivo.

¿Qué información puede verse comprometida?

Una vez infectado, un teléfono se convierte en un espía digital bajo el control total del atacante.

Tras la instalación, Pegasus se pone en contacto con los servidores de comando y control (C&C) del atacante para recibir y ejecutar instrucciones y enviar de vuelta los datos privados del objetivo, incluidas contraseñas, listas de contactos, eventos del calendario, mensajes de texto y llamadas de voz en vivo (incluso las de un extremo a otro). -Aplicaciones de mensajería encriptadas al final). El atacante puede controlar la cámara y el micrófono del teléfono y usar la función GPS para rastrear un objetivo.

Para evitar un consumo extenso de ancho de banda que pueda alertar a un objetivo, Pegasus envía solo actualizaciones programadas a un servidor C&C. El software espía está diseñado para evadir los análisis forenses, evitar la detección por parte del software antivirus y el atacante puede desactivarlo y eliminarlo cuando sea necesario.

¿Qué precauciones se pueden tomar?

En teoría, la higiene cibernética astuta puede proteger contra los cebos ESEM. Pero cuando Pegasus explota una vulnerabilidad en el sistema operativo de un teléfono, no hay nada que se pueda hacer para detener una inyección de red. Peor aún, uno ni siquiera se dará cuenta de ello a menos que el dispositivo sea escaneado en un laboratorio de seguridad digital.

Cambiar a un teléfono arcaico que solo permite llamadas y mensajes básicos ciertamente limitará la exposición de datos, pero es posible que no reduzca significativamente el riesgo de infección. Además, cualquier dispositivo alternativo utilizado para correos electrónicos y aplicaciones seguirá siendo vulnerable a menos que uno renuncie a usar esos servicios esenciales por completo.

Por lo tanto, lo mejor que se puede hacer es mantenerse al día con cada actualización del sistema operativo y parche de seguridad lanzado por los fabricantes de dispositivos, y esperar que los ataques de día cero se vuelvan más raros. Y si uno tiene el presupuesto, cambiar los teléfonos periódicamente es quizás el remedio más efectivo, aunque costoso.

Dado que el software espía reside en el hardware, el atacante tendrá que infectar con éxito el nuevo dispositivo cada vez que cambie uno. Eso puede plantear desafíos tanto logísticos (costos) como técnicos (actualización de seguridad). A menos que uno se enfrente a recursos ilimitados, generalmente asociados con el poder estatal.

Compartir Con Tus Amigos: