iPhones vulnerables a hacking durante meses según investigadores

Decenas de periodistas de Al Jazeera presuntamente fueron hackeados utilizando el software espía (spyware) de la empresa israelí NSO Group.

El spyware Pegasus de NSO Group supuestamente podría rastrear ubicaciones y acceder a contraseñas.

Durante casi un año, el spyware vendido por NSO Group de Israel supuestamente estaba armado con una súper arma de seguridad informática. Tenía un exploit de cero rastro, cero clics y zero-day que usaba una vulnerabilidad en iMessage para tomar el control de un iPhone. Podía tomar el control con solo presionar un botón.

Eso significa que no habría dejado ningún rastro visible de haber sido colocado en los teléfonos del objetivo. Este podría instalarse simplemente enviando un mensaje en el que la víctima ni siquiera necesitaba hacer clic. Y, funcionó incluso en teléfonos que ejecutaban la última versión de iOS, el sistema operativo para iPhones.

Investigadores del Citizen Lab de la Universidad de Toronto dijeron que descubrieron la supuesta herramienta de hacking, que ha sido llamada “Kismet”. Debemos pensar en Kismet como el caballo de Troya, utilizado para eludir la seguridad de un iPhone. Ahora bien, los soldados que están dentro son otra pieza de software vendida por NSO Group. El software es llamado Pegasus, y es terriblemente poderoso, según afirma Citizen Lab.

Capacidades de Pegasus

“Creemos que (como mínimo) esta versión del spyware Pegasus tenía la capacidad de rastrear la ubicación, acceder a contraseñas y credenciales almacenadas en el teléfono. También podía grabar audio desde el micrófono, incluida la grabación ambiental de ‘hot mic’ y el audio de llamadas telefónicas cifradas. Asimismo, podía tomar fotografías con la cámara del teléfono”.

Citizen Lab dijo que había encontrado 37 ejemplos conocidos de Kismet siendo utilizado por clientes de NSO. Este era utilizado contra periodistas que cubrían noticias en y alrededor del Medio Oriente. Pero, dijeron los investigadores, “dado el alcance global de la base de clientes de NSO Group, la aparente vulnerabilidad de casi todos los dispositivos iPhone antes de la actualización de iOS 14 seguramente permitió mayor alcance. Sospechamos que las infecciones que observamos fueron una fracción minúscula del total de ataques utilizados con este exploit”.

En un comunicado, un portavoz de Apple dio su postura.  “En Apple, nuestros equipos trabajan incansablemente para fortalecer la seguridad de los datos y dispositivos de nuestros usuarios. iOS 14 es un gran avance en seguridad y entregó nuevas protecciones contra este tipo de ataques. El ataque descrito en la investigación fue altamente dirigido por estados nación contra individuos específicos. Siempre instamos a los clientes a descargar la última versión del software para protegerse a sí mismos y a sus datos”.

Aunque los primeros supuestos ataques con Kismet fueron a mediados de año, esto puede haber iniciado mucho antes. Citizen Lab afirmó que los registros de teléfonos comprometidos sugirieron que se utilizó la misma técnica, o un exploit de zero-day sin clic relacionado anteriormente. Fue utilizado específicamente en octubre de 2019.

Respuesta de Apple

Las acusaciones de Citizen Labs, que Apple dijo que no había podido verificar de forma independiente, sugieren detalles relevantes. Es el descubrimiento de esfuerzo de hacking más serio dirigido a los usuarios de iOS desde que se cerró una campaña generalizada no relacionada. Aquel incidente ocurrió en febrero de 2019.

Esa campaña, descubierta por los ingenieros de Google y divulgada en agosto pasado. Esta utilizó una vulnerabilidad de seguridad en la forma en que los iPhones visitan los sitios web. Fue utilizada para robar datos privados como iMessages, fotos y ubicación GPS en tiempo real.

En una declaración pública, Apple intentó restar importancia a ese ataque. Apple señaló que “afectó a menos de una docena de sitios web que se centran en contenido relacionado con la comunidad Uigur”. La compañía hizo una comparación similar con Kismet, y señaló que los clientes de NSO Group son estados nación. Es decir, sus objetivos son un número limitado de personas.

Apple ha buscado convertir la privacidad y la seguridad en los principales puntos de venta de sus dispositivos. La empresa se enorgullece de no recopilar datos de los usuarios con fines comerciales. Y, hace hincapié en que nunca ha habido un malware generalizado en la historia del iPhone.

Apple vs. Google

Ya en 2014, el CEO de Apple, Tim Cook, atacaba a Android de Google en el escenario de la conferencia mundial de desarrolladores de su empresa. Lo atacó al señalar que la plataforma “domina” el mercado de malware móvil, calificándolo de “infierno tóxico de vulnerabilidades”.

Pero en los últimos años, la brecha entre Apple y sus competidores se ha cerrado. Y a medida que más investigadores de seguridad se han centrado en los dispositivos móviles, se han descubierto vulnerabilidades vergonzosas.

A principios de este mes, otro investigador de Google, Ian Beer, reveló una feroz vulnerabilidad de iOS de “día cero sin clic“. Esta le permitió tomar el control total de un iPhone simplemente por estar dentro del alcance Wi-Fi del dispositivo. Esa vulnerabilidad fue corregida por Apple en iOS 13.5.

NSO Group dijo que sus productos están destinados a combatir “el crimen organizado grave y la lucha contra el terrorismo”. Y, que se investigaría cualquier evidencia de una infracción grave de sus políticas. Añadió: “Como hemos dicho repetidamente, no tenemos acceso a ninguna información. No accedemos a datos o identidades de las personas en las que nuestro sistema se utiliza para realizar la vigilancia”.