Microsoft revela que ciudadanos en Cataluña han sido víctimas de un programa de espionaje para gobiernos

La investigación ha especificado que la empresa israelí  Candiru vendía el software, pero los gobiernos elegían los objetivos y lo ejecutaban  Microsoft desvela que el código malicioso SOURGUM, que afecta al sistema operativo Windows, y que se empleó contra de al menos 100 personas de todo el mundo, entre ellas políticos, activistas, periodistas y académicos

Microsoft asegura que la empresa israelí Candiru creó un malware espía SOURGUM que se usó en en Cataluña

La empresa israelí que fabrica y vende este software malicioso se llama Candiru, según concluye una investigación del laboratorio The Citizen Lab de la Universidad de Toronto (Canadá). Fue el trabajo de este centro el que alertó a Microsoft, con quien mantienen una estrecha colaboración, de la existencia de esta amenaza. “Candiru es una discreta empresa con sede en Israel que vende software espía exclusivamente a gobiernos”. Su herramienta es utilizada para “infectar y monitorizar iPhones, Androids, Macs, PCs y cuentas en la nube”, explicó The Citizen Lab en su blog.

The Citizen Lab detectó en su momento una intrusión similar a la reportada ayer, también a cargo de una empresa israelí –en este caso Pegasus de NSO–, que afectó al teléfono móvil de Roger Torrent, presidente del Parlament de Catalunya. El programa Pegasus atacó en 2019 el móvil de Torrent y de otras 1.400 personalidades de todo el mundo.  El software Pegasus también permitió espiar del líder de ERC en el Ayuntamiento de Barcelona, Ernest Maragall, en la primavera del 2019.

Ciberespionaje internacional

Según Microsoft, compañías como Candiru o NSO venden “paquetes” de software malicioso a agencias gubernamentales de todo el mundo para que estas puedan acceder sin permiso a ordenadores, teléfonos, infraestructuras de red, servidores y otros dispositivos de los ciudadanos.

Candiru, una empresa escurridiza

• Candiru es una empresa con sede en Israel que vende software espía exclusivamente a los gobiernos

Basada en Tel Aviv, Candiru es una “empresa mercenaria de spyware [software espía] que comercializa malware no rastreable a clientes gubernamentales”, afirma The Citizen Lab en su blog. Según el citado centro de investigación especializado en ciberseguridad, Candiru se esfuerza activamente por tal de que “sus operaciones, infraestructura y empleados sean opacos para el escrutinio público”.

Fundada en 2014, ha tenido varios nombres y recluta a su personal de la famosa Unidad 8.400, un cuerpo de élite de los servicios de inteligencia de las fuerzas armadas israelíes. Según refleja The Citizen Lab en un informe, Candiru tiene entre sus principales clientes a los gobiernos de Uzbekistán, Arabia Saudí, Emiratos Árabes, Catar y Singapur, aunque también ha trabajado para repúblicas exsoviéticas, países europeos, latinoamericanos y asiáticos.

Se trata de una compañía con altos recursos financieros, lo que le da la capacidad de organizar ataques cibernéticos quirúrgicos de alta precisión. The Citizen Lab ha identificado hasta 764 webs con rastros del spyware de Candiru.

 Microsoft y Citizen Lab publicaron una nota que vinculaba a la empresa israelí Candiru, software espía de Windows denominado DevilsTongue, que explota las vulnerabilidades de día cero de Windows.

Según Microsoft, DevilsTongue fue capaz de infiltrarse en sitios web populares como Facebook, Twitter, Gmail, Yahoo y otros para recopilar información, leer los mensajes de la víctima y recuperar fotos. "DevilsTongue también puede enviar mensajes en nombre de la víctima en algunos de estos sitios web", explicó el comunicado del Centro de Inteligencia de Amenazas de Microsoft.

 En septiembre de 2020 una demanda de un empleado de Candiru contra su compañía reveló algunas operaciones por un valor de 30 millones de dólares. y que entre sus clientes se encontraban países en Europa, de la ex Unión Soviética, el Golfo Pérsico, Asia y América Latina. Concretamente en 2019 en una presentación se mencionaban países como Arabia Saudí, Qatar, Singapur o Uzbekistán.

Listado de precios de Candiru

• ¿Cuánto cuesta espiar?

Según The New York Times, en 2017 cada infección exitosa de Pegasus (NSO) tenía un coste alrededor de los $77,000.00 USD. Arabia Saudí pagó 55 millones de dólares en 2017 por el acceso a Pegasus.

Algunas cosas del portfolio de Candiru fueron reveladas en una oferta de sus servicios filtrada en The Maker: Casi 17 millones de euros por infectar un número ilimitado de dispositivos solo monitorizando diez de ellos simultáneamente. Y con incrementos de 1,5 millones para poder ver 15 dispositivos a la vez, o de 5,5 millones para acceder a 25.

Candiru parece licenciar su software espía por número de infecciones concurrentes, lo que refleja el número de objetivos que pueden estar bajo vigilancia activa en cualquier momento. Al igual que NSO Group, Candiru también parece restringir al cliente a un conjunto de países aprobados.

La propuesta de proyecto de 16 millones de euros permite un número ilimitado de intentos de infección por software espía, pero el seguimiento de solo 10 dispositivos simultáneamente. Por 1,5 millones de euros adicionales, el cliente puede comprar la capacidad de monitorear 15 dispositivos adicionales simultáneamente e infectar dispositivos en un solo país adicional. Por 5,5 millones de euros adicionales, el cliente puede monitorear 25 dispositivos adicionales simultáneamente y realizar espionaje en cinco países más.

• https://www.themarker.com/embeds/pdf_upload/2020/20200902-161742.pdf

Fuentes:
https://elpais.com/tecnologia/2021-07-16/microsoft-asegura-que-una-empresa-israeli-creo-un-software-espia-que-se-uso-en-cataluna.html

https://citizenlab.ca/2021/07/hooking-candiru-another-mercenary-spyware-vendor-comes-into-focus/