Los ataques 'clic cero' con Pegasus y el borrado de rastro se acentuaron en 2021

El programa de 'software' espía Pegasus, desarrollado por la compañía israelí NSO Group y que ha sido adquirido en al menos 60 países por gobiernos y empresas, se ha ido sofisticando durante los últimos años hasta el punto de que su rastro es ya prácticamente indetectable y su ejecución en el móvil ya no requiere el 'clic' en el mensaje recibido. El programa, capaz de infectar millones de dispositivos Android e iOS, es conocido desde hace más de una década, además de para combatir el terrorismo y la delincuencia, por haber sido utilizado para espiar a periodistas y defensores de derechos humanos, pero también representantes políticos, empresarios y personas relevantes.

El 'software' espía, diseñado por tres ex agentes de la inteligencia israelí, fue creado para investigar el terrorismo y el crimen, desmantelar redes de pedofilia, tráfico sexual, drogas y lavado de dinero. Sus primeras versiones, de 2011, fueron utilizadas eficazmente en México para detener al narcoterrorista Joaquín Guzmán Loera 'El Chapo'. Sin embargo, su uso en la actualidad dista mucho de los objetivos iniciales y el ejemplo más reciente es el espionaje del presidente del Gobierno español, Pedro Sánchez, y de la ministra de Defensa, Margarita Robles, que además ha propiciado el robo de datos confidenciales que contenían sus móviles. Los pinchazos tuvieron lugar en mayo y junio de 2021, en plena crisis diplomática con Marruecos por el traslado a España del líder del Frente Polisario, y en paralelo al indulto de los líderes soberanistas que participaron en el 'procés' catalá.

Estas fechas coinciden con una actividad inusual de Pegasus en prácticamente todo el mundo, según detallaba Amnistía Internacional en un informe 'forensic' que dio a conocer en julio de 2021, en el que además destacaba que los ataques con 'clic cero' -que no requieren ninguna interacción del objetivo- en mayo y los meses posteriores se habían intensificado y habían tenido como objeto fundamentalmente el espionaje de periodistas y activistas en una decena de países. Junto a esto, señalaba que desde mediados del año pasado varios iPhones inspeccionados mostraban que Pegasus había comenzado a manipular las bases de datos del sistema operativo y los registros de los dispositivos infectados para "ocultar sus rastros y obstaculizar los esfuerzos de investigación". 

Muchos procesos de Pegasus ejecutados en dispositivos se dieron después de búsquedas de cuentas de iMessage, tras el uso de FaceTime e incluso de Apple Music

Señala en el exhaustivo informe, que el 'software' espía había conseguido eliminar los nombres de procesos maliciosos, pero no de forma total, por lo que fue posible localizar los momentos en que ocurrieron las infecciones. Los pinchazos en los que se detectaron estos borrados de datos tuvieron lugar entre enero y junio del año pasado. Junto a esto, Amnistía detectó que la aplicación Fotos de iOS o el servicio Photostream de los IPhone se utilizaron para implementar el Pegasus. Destaca que a partir de 2019 se empezó y se intensificó en 2021. 

El informe deja patente que los mensajes SMS con enlaces maliciosos fueron la táctica elegida por los clientes de NSO Group entre 2016 y 2018, "pero posteriormente se volvieron más raros". Señala muchos procesos de Pegasus ejecutados en dispositivos tuvieron lugar después de búsquedas de cuentas de iMessage sospechosas y tras el uso de FaceTime e incluso a través Apple Music y otro servicios de la 'marca de la manzana'. Pero los más relevante es que cada vez más ataques se producían incluso sin pinchar en el activo sospechoso y menciona el espionaje del dispositivo de un activista ruandés, que provocó múltiples infecciones de 'clic cero' exitosas en mayo y junio de 2021. "Podemos ver un ejemplo de esto el 17 de mayo de 2021. Se registra una cuenta de iMessage desconocida y en los minutos siguientes al menos Se crean 20 fragmentos de archivos adjuntos de iMessage en el disco", señala

Los ataques 'cero clic' aprovechan la vulnerabilidad existente en un 'software' y puede ejecutar diferentes ataques de 'malware' en el dispositivo de la víctima, simplemente recibiendo una imagen infectada a través de WhatsApp. Las plataformas de mensajería o llamada de voz son las más 'expuestas' a estos ataques, ya que permiten enviar y recibir contenidos desde fuentes desconocidas, aprovechando el cifrado de extremo a extremo, además, para ocultar el contenido malicioso. Otro de los objetivos son los SMS y correos electrónicos.

El CNI publicó en mayo, el mes del espionaje a Sánchez, un informe en el que alertaba que España es uno de los países por las 'infecciones espías'

También en mayo, el mes de los ataques con el Pegasus a miembros del Gobierno, el Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia (CNI), publicaba un informe en el que alertaba del uso cada vez más frecuente de los pinchazos a teléfonos con el programa de empresa israelí. El CCN señalaba, en paralelo con el espionaje a Sánchez, que "últimamente se ha identificado un incremento notable no solo en el número de especímenes de código dañino para dispositivos móviles ('mobile malware'), sino que también en su complejidad y sofisticación, encontrándose España entre los países más afectados a nivel mundial en base al número de infecciones". La información de los servicios de inteligencia contrasta con la aportada recientemente por el Gobierno, que ha destacado que nuestro país es uno de los menos expuestos a este tipo de espionaje.

El informe se marcaba como objetivo concienciar y aplicar buenas prácticas para evitar estas incidencias. "El fin es ayudar a los usuarios finales a proteger y hacer un uso lo más seguro posible de los dispositivos móviles, profundizando en la configuración y utilización de los mecanismos de protección existentes en la actualidad", señalaba. Entre sus consejos, muy básicos y fáciles de ejecutar, apuntaba el uso de la pantalla de bloqueo -el principal mecanismo de defensa frente al acceso físico no autorizado-; el acceso con huella dactilar, para evitar que tras un robo se pueda acceder a información personal; y no conectar el dispositivo móvil a puertos USB desconocidos.

Advertía también de los ataques basados en enlaces maliciosos distribuidos a través de las apps de mensajería, la táctica habitual utilizada por Pegasus. Estos ataques se suelen referenciar como SMiShing , en lugar de phishing (término empleado en la distribución mediante correo electrónico), y suelen incluir mensajes atractivos y sugerentes. El CCN señalaba que lo más eficaz para identificar mensajes dañinos es el sentido común. "Esto significa que cualquier síntoma o patrón fuera de lo considerado normal o habitual debe despertar la sospecha del usuario. Un patrón o síntoma irregular puede significar: recibir un mensaje de un remitente no conocido, recibir un mensaje que solicite información  personal o que el contenido del mensaje sea demasiado atractivo como para ser cierto". Pese a todo, miembros del Gobierno y, posiblemente, dirigentes independentistas no pudieron evitar los accesos a sus móviles.