Se están planteando interrogantes sobre el trabajo de NSO Group, especialista en cibervigilancia con sede en Israel, después de que sacara a la luz más de 50.000 números de teléfono de activistas, periodistas y otras personas consideradas "de interés" para algunos de los regímenes más represivos del mundo que habían estado utilizando su troyano de acceso remoto (RAT) Pegasus.

Los detalles del uso indebido del programa espía Pegasus -que utilizan legítimamente clientes de las fuerzas de seguridad y agencias antiterroristas, entre otros- se revelaron el fin de semana del 17 y 18 de julio en un comunicado coordinado por varios medios de comunicación, entre ellos el británico The Guardian.

Los periódicos obtuvieron la lista de números de una organización francesa sin ánimo de lucro, Forbidden Stories, y de una organización benéfica, Amnistía Internacional.

La filtración de datos incluye datos de periodistas de importantes medios de comunicación como Al Jazeera, Bloomberg, CNN, The Economist , New York Times y Wall Street Journal , entre otros.

Además de la información de líderes mundiales, como el presidente francés Emmanuel Macron, también figuran en la lista autoridades de otros países, como Azerbaiyán, Bahréin, Emiratos Árabes Unidos, Hungría, Kazajistán, India, Marruecos, México, Ruanda y Arabia Saudí.

En un extenso comunicado, NSO negó con vehemencia las acusaciones contenidas en los artículos. La empresa israelí afirma que investigó a todos sus clientes gubernamentales y que no operó los sistemas que se les vendieron, ni tuvo acceso a los datos que pudieran recopilar.

No es la primera vez que se cuestiona el software Pegasus.

En 2019, WhatsApp descubrió que Pegasus había sido utilizado para infectar más de 1.000 dispositivos con malware a través de una vulnerabilidad Zero Day.

NSO también ha sido acusada de aprovechar vulnerabilidades del software de Apple para atacar dispositivos iOS. Los análisis del Laboratorio de Seguridad de Amnistía Internacional sugieren que la empresa israelí busca constantemente nuevos días cero en aplicaciones móviles ya establecidas.

Además de explotar vulnerabilidades, o mediante ataques de spear-phishing contra objetivos, Pegasus también puede instalarse por vía inalámbrica si el teléfono objetivo se encuentra dentro del alcance de un transceptor específico, según Amnistía.

Una vez presente, puede exportar todo el contenido de un dispositivo, así como tomar el control del micrófono y la cámara del teléfono y grabar llamadas.

Basado en técnicas de malware, Pegasus es un programa espía que puede piratear cualquier dispositivo iOS o Android y robar diversos datos del dispositivo infectado, como mensajes de texto, correos electrónicos, registros de teclas, audio e información de apps instaladas como Facebook o Instagram.

El programa espía puede grabar conversaciones y vídeos, así como tomar fotografías de la cámara del dispositivo.

Los actores de amenazas pueden utilizar Pegasus para recopilar sigilosamente información de objetivos de alto valor, incluidos ejecutivos con información corporativa estratégica y funcionarios gubernamentales con acceso a secretos nacionales o internacionales.

Cómo funciona y qué hace Pegasus

Un ataque Pegasus comienza con un sencillo esquema de phishing: el atacante identifica un objetivo y le envía la URL de un sitio web por correo electrónico, redes sociales, mensajes de texto o cualquier otro mensaje.

Una vez que el usuario hace clic en el enlace, el malware ejecuta en secreto un trío de exploits de día cero contra el dispositivo de la víctima, desbloqueándolo a distancia para poder instalar el programa espía.

La única indicación de que ha ocurrido algo es que el navegador se cierra después de que el usuario haga clic en el enlace. No hay ninguna otra indicación de que haya ocurrido algo o de que se estén ejecutando nuevos procesos.

Una vez instalado, Pegasus se pone en contacto con los servidores de mando y control del operador para recibir y ejecutar sus órdenes.

El spyware contiene código malicioso, procesos y aplicaciones que espían lo que el usuario hace en el dispositivo, recopilan datos e informan de lo que hace. El malware puede acceder y exportar llamadas, correos electrónicos, mensajes y registros de aplicaciones como Facebook, Facetime, Gmail, WhatsApp, Tango, Viber y Skype.

Una vez que el spyware desbloquea el dispositivo del usuario, compromete las aplicaciones originales ya instaladas en el dispositivo para capturar datos en lugar de descargar versiones maliciosas de esas aplicaciones.

Exploits como Pegasus utilizan el Día Cero para atacar objetivos de alto valor

Pegasus aprovecha las vulnerabilidades de Día Cero, un fallo que desconocen los fabricantes de software, hardware, firmware o los responsables de parchear el fallo, para desbloquear remotamente el dispositivo de un usuario, instalar malware y permitir al atacante acceder a prácticamente toda la información del dispositivo.

Dado que una vulnerabilidad de Día Cero no puede conocerse de antemano, no hay forma de protegerse contra un exploit específico antes de que se produzca. Sin embargo, hay medidas que las empresas pueden tomar para reducir su nivel de exposición al riesgo.

Aunque mantener un alto nivel de seguridad de la información puede no evitar todos los ataques de Día Cero, la inversión en seguridad de la información puede ayudar a detectar los síntomas clave de los ataques, desencadenar acciones preventivas y derrotarlos una vez corregidas las vulnerabilidades.