Ayer estallaba la noticia bomba tras confirmar el gobierno que dos de sus miembros, Pedro Sánchez y Margarita Robles, habían sido espiados con Pegasus. El polémico software israelí volvía a ser noticia después de que, hace unos días, se supiera que líderes independentistas, jueces y miembros de la sociedad civil catalana, también habían sido espiados. El gobierno confirmó un poco más tarde que habían extraído 2,6GB de datos y 130MB de datos del móvil del presidente del gobierno Pedro Sánchez. El problema es que esto no cuadra con el funcionamiento de la herramienta.
Ayer 2 de mayo, festivo en varias comunidades, el gobierno sorprendía convocando una rueda de prensa en la que confirmaba que los móviles del presidente del Gobierno, Pedro Sánchez, y de la ministra de Defensa, Margarita Robles, habían sido intervenidos mediante el software Pegasus. La información se puso rápidamente en conocimiento de la Audiencia Nacional.
Según parece, las intrusiones en el móvil del presidente se produjeron en mayo de 2021 mientras que al móvil de la ministra de Defensa Margarita Robles accedieron en junio 2021. En todo caso, el gobierno apunta a entidades extranjeras como responsables del robo de información. La oposición duda del momento elegido por el gobierno para hacer público algo así, cuando en realidad todo apunta a que se conocía desde antes.
Según un informe del CNI al que han tenido acceso alguno medios, Moncloa conocía el espionaje con Pegasus desde julio de 2021. Esto refuerza la tesis de la oposición de que ha sido desvelado en estos momentos para intentar contrarrestar el espionaje a los líderes catalanes que ha provocado una crisis de gobierno. El informe, elaborado por el CCN o Centro Criptológico Nacional, se titula “Detección de software Pegasus en dispositivos iPhone” y explica cómo detectar la existencia de este software espía.
Pegasus infecta y permanece en el terminal
ADSLZone se ha puesto en contacto con diferentes empresas de ciberseguridad y todas coinciden en que Pegasus no roba paquetes concretos de información. Una vez que el software espía infecta un teléfono, permanece en estado conectado comprometiendo toda la información que entra o sale del smartphone. Por este motivo, la versión del ejecutivo hace aguas a la hora de cuantificar en una serie de megas o gigas los datos que se han «robado».
Es importante tener en cuenta que el ataque de Pegasus es silencioso y no proporciona ninguna evidencia de funcionamiento que haga sospechar de una posible infección. Solo es posible comprobar el ataque mediante un exhaustivo análisis forense que encuentre trazas de las modificaciones en el sistema que ha hecho la herramienta. Se trata además de un software en completa evolución que se va adaptando a las vulnerabilidades críticas que van apareciendo en los teléfonos. Así, por ejemplo, en el iPhone el software israelí ha utilizado fallos de seguridad en Apple Music o iMessage para realizar infecciones. También WhatsApp ha estado en el punto de mira y ha logrado explotar vulnerabilidades que en teoría ya han sido corregidas.
En principio Pedro Sánchez o Margarita Robles han podido ser «hackeados» accediendo a un enlace legítimo o simplemente actualizando la versión de IOS de sus equipos, momento en el cual Pegasus también ha conseguido burlar la seguridad de Apple. Lo que sí sabemos es que la versión de los dos volcados de información no se sostiene porque en el momento que el software penetra, todo el terminal es vulnerable.
¿Por qué estaría mintiendo el gobierno?
Aquí ya tenemos dos problemas. El primero es decir que únicamente se robaron 2,6GB y 130MB de datos en las dos incursiones. El segundo es que se disponía de un completo informe del CNI para detectar la existencia de Pegasus en los móviles oficiales.
Como bien explicaba el CNI en su informe: “Pegasus dispone de la capacidad de acceder a prácticamente cualquier información almacenada en el dispositivo o de realizar acciones sobre el mismo como la activación del micrófono, grabación de llamadas, acceso al posicionamiento GPS o captura de las páginas web visionadas, entre muchas otras”.
Pero, además de eso, es indetectable por parte del usuario que no sabe en ningún momento que están robando su información. La herramienta se queda latente en el terminal hasta que no se identifica y, en todo ese tiempo, puede estar enviando información sin ningún tipo de limitación. Es decir, no es un ataque puntual de “entrar y salir”, es algo que se instala en el móvil y se queda oculto todo el tiempo.
Pegasus: el spyware invisible
Muchas personas se refieren a Pegasus como el malware (spyware) invisible o la infección silenciosa. Esto es debido a que es complicadísimo detectar su presencia. Un usuario normal lo tendría casi imposible, mientras que expertos en ciberseguridad pueden tardar varios días en hacerlo. De hecho, han pasado varios años desde que escuchamos hablar por primera vez de la herramienta y todavía no existe un método sencillo de detectarlo como sí ha sucedido con otras amenazas de seguridad.
Esto es debido a la forma en que ha sido concebido y a los interminables esfuerzos de la empresa israelí NSO para que así sea. La forma se llegar a los móviles suele ser mediante phishing, es decir, haciéndose pasar por un contenido legítimo. Suele utilizar un SMS con un enlace o una llamada perdida de WhatsApp. A partir de que pinchemos en ese enlace, ya estamos perdidos.
La gran virtud de Pegasus, hablando desde el punto de vista puramente técnico, es su capacidad para aprovechar las vulnerabilidades. Todo software, ya sea iOS, Android o cualquier aplicación, tiene agujeros de seguridad más o menos evidentes. Esto es algo normal dentro del proceso de desarrollo. La labor de los responsables de estas aplicaciones o sistemas es parchear todas esas brechas de seguridad a la mayor brevedad. Pegasus se aprovecha de todas ellas y se va adaptando con las que son aprovechables en ese momento.
A lo largo de los años, ha utilizado fallos de seguridad o exploits en aplicaciones como Apple Music o iMessage, en el caso de los terminales de Apple, para colarse en los dispositivos de la manzana mordida. A todo esto, suma una excelente capacidad de no dejar rastro, reduciendo al máximo las trazas en los registros del sistema y cambiando su denominación para pasar desapercibido.
Para ello, se camufla dentro de procesos legítimos adoptando nombres como ABSCarryLog, aggregatenotd, ckkeyrollfd, com.apple.Mappit.SnapshotService, com.apple.rapports.events, CommsCenterRootHelper, Diagnostic-2543, eventsfssd, fmld, JarvisPluginMgr, launchafd, MobileSMSd, nehelprd, pcsd, PDPDialogs, ReminderIntentsUIExtension, rlaccountd o roleaccountd…
Todo esto, sumado a la capacidad de personalizar la herramienta para cada caso, hacen prácticamente imposible su detección para los usuarios normales y la complican en extremo para los expertos en ciberseguridad. Algunos organismos, como Amnistía Internacional, ofrecen la herramienta Mobile Verification Toolkit (MVT) que permite identificar trazas potenciales que indiquen que el terminal ha sido comprometido.
