Cinco meses después de las revelaciones sobre la explotación de Pegasus, el spyware golpea de nuevo.
Recientemente, empleados del Departamento de Estado de EE. UU. fueron objetivo de un grupo no identificado que utilizaba el software Pegasus de NSO. Tras las revelaciones de julio, que expusieron que había afectado en particular a periodistas y altos cargos, el malware de espionaje sigue propagándose en los móviles de objetivos críticos.
En julio de 2021 se contabilizaban nada menos que 50 000 personas directamente afectadas por el programa espía Pegasus, aunque el alcance va más allá, pues también concierne a todas las personas en contacto con las víctimas. A veces es simplemente más fácil alcanzar un objetivo a través de su red, y eso es también lo que hace Pegasus.
Aunque los sistemas operativos Android e iOS se desarrollan teniendo en cuenta las problemáticas de seguridad móvil, con Pegasus el grupo NSO demuestra que las protecciones estándar de los sistemas operativos móviles no son lo bastante fiables para proteger los datos de los usuarios, lo que pone en evidencia la necesidad de añadir una capa suplementaria de seguridad a todos los terminales móviles.
El modus operandi de Pegasus
Para comprometer objetivos críticos, el programa espía Pegasus explota las vulnerabilidades de aplicaciones corrientes como iMessage, FaceTime, Safari, WhatsApp, etc., que poseen un módulo web (WebKit, WebView…), con el fin de alcanzar URL generadas dinámicamente, invisibles y no clasificadas.
Las páginas alcanzadas ejecutan entonces código JavaScript para explotar otras vulnerabilidades y salir de los sandbox de las aplicaciones, eludiendo así todos los mecanismos implantados en los sistemas Android e iOS.
Una vez en las capas del sistema, Pegasus explota una secuencia de vulnerabilidades conocidas y zero-day del procesador para ejecutar código arbitrario (Arbitrary Code Execution) sin necesidad de que el sistema esté rooteado o con jailbreak.
El código se carga directamente en la RAM y no como aplicación, lo que hace delicada su detección. Tras superar todas esas etapas, Pegasus exfiltra masivamente los datos de los usuarios, incluidos los datos cifrados (conversaciones de WhatsApp, Telegram, Signal…).
Lo que Pegasus nos enseña
Los terminales móviles son objetivos de gran valor
En 10 años, el smartphone se ha convertido en el dispositivo conectado más utilizado, tanto para usos profesionales como personales. Siempre al alcance de la mano, permite acceder y almacenar casi todos los datos relativos a una persona: agenda, localización, contactos, fotos, conversaciones… Sin embargo, en una época en la que la protección de datos se refuerza cada vez más, las prácticas corrientes de ciberseguridad no están a la altura de la sensibilidad de estos terminales.
Recientemente hemos sido testigos de un repunte de los ciberataques y cada vez más titulares subrayan fugas procedentes de móviles. Pegasus pone de manifiesto la falibilidad a varios niveles de un terminal móvil y el amplio alcance de un ataque móvil.
Un terminal móvil puede verse comprometido a nivel de la aplicación, de la red y del sistema operativo. En el 76 % de las fugas de datos móviles hay aplicaciones implicadas. De media, tres de cada cinco aplicaciones presentan vulnerabilidades y/o puertas traseras que pueden explotarse para exfiltrar datos. Además de las aplicaciones, las conexiones de red (celular, WiFi, Bluetooth, NFC…) representan otro punto de acceso directo a los datos en tránsito, exponiéndolos al espionaje o arriesgándose a infectar el terminal con código malicioso. Por último, los fallos de configuración y las vulnerabilidades del sistema operativo pueden explotarse para obtener privilegios y acceder a los datos de los usuarios almacenados en el dispositivo. Pegasus actúa en cada uno de esos niveles para espiar a sus víctimas.
iOS no es una fortaleza inexpugnable
Hasta ahora, la creencia común era que el enfoque cerrado inherente al sistema iOS lo hacía resistente a los ciberataques. El proyecto Pegasus echó definitivamente por tierra ese mito urbano con, entre otros casos, un iPhone 12 Pro Max que ejecutaba la última versión del sistema 14.6 y fue comprometido por un ataque zero-clic que explotaba una vulnerabilidad zero-day de iMessage en junio de 2021.
«Cuando hablamos de algo como un iPhone, todos ejecutan el mismo software en todo el mundo. Así que, si encuentran la manera de piratear un iPhone, han encontrado la manera de piratearlos todos», comentó Edward Snowden.
Pese a los considerables esfuerzos desplegados por Apple, iOS es tan falible como cualquier otro sistema, y el hecho de que la mayoría de los dispositivos funcionen simultáneamente con la misma versión tiene sus inconvenientes. Las ciberamenazas evolucionan permanentemente y colarse en el sistema de Apple es un reto lucrativo para los piratas.
La vigilancia a gran escala no es nueva
Pegasus subraya la profundidad de un ataque a gran escala dirigido a jefes de Estado, personalidades políticas y periodistas. Sin embargo, no hay que olvidar que el espionaje es una práctica corriente realizada a diario en el sector industrial, mediante robos de datos no dirigidos o incluso a través de prácticas de marketing ordinarias. La dark web está repleta de revendedores de datos que monetizan información relativa a millones de usuarios activos por una media de 4000 USD al mes.
Por ello, cada usuario móvil y todas las empresas deberían preocuparse por cómo se tratan los datos en los terminales móviles y por las medidas implantadas para impedir su exfiltración.
Recomendaciones globales
Una solución de seguridad eficaz para los móviles debe ofrecer funcionalidades innovadoras y avanzadas para hacer frente específicamente a la ciberdelincuencia móvil. La principal recomendación de Pradeo es implantar una solución de seguridad móvil dedicada, en lugar de un servicio todo en uno que solo sobrevolará la respuesta a las amenazas móviles.
- Asegure todo su entorno móvil
Android e iOS presentan cientos de vulnerabilidades detectadas y corregidas cada año, y lo mismo ocurre con las aplicaciones móviles utilizadas en esos entornos. - Utilice funciones de seguridad adaptables
Cada organización atribuye una importancia diferente a cada dato en función de su actividad, sus normas de seguridad, el sector al que pertenece, etc. Para proteger los datos a los que conceden más importancia, los equipos de seguridad deben apoyarse en políticas de detección y respuesta granulares, personalizables según sus necesidades específicas. - Condicione el acceso a los recursos de la organización
Para asegurarse de que ninguna amenaza espíe sus recursos sensibles a través de los terminales móviles que acceden a ellos, el acceso condicional basado en la seguridad es la mejor práctica recomendada. Así, cuando un dispositivo presenta una amenaza, se le denegará el acceso a los recursos de la empresa. - Analice los eventos de seguridad
La visibilidad unificada de los eventos de seguridad debe obtenerse mediante una solución SIEM (Security Information and Event Management). Esta solución busca reunir los eventos de todos los entornos (PC, servidores y móviles) con fines estadísticos y aprovechar la granularidad de una detección móvil dedicada para un análisis cruzado y avanzado.
