Más de 30.000 activistas de los derechos humanos, periodistas y abogados de todo el mundo podrían haber sido víctimas del espionaje Pegasus, un “software de vigilancia legal” desarrollado por la empresa israelí NSO. En el informe, llamado el Proyecto Pegasus, se afirmaba que el malware se había desplegado mediante varios exploits, incluidos varios de día cero y cero clics en iOS. Pegasus, Chrysaor y otras APT

 Teniendo en cuenta el análisis forense de varios dispositivos móviles, el laboratorio de seguridad de Amnistía Internacional descubrió que el software se había utilizado repetidamente de manera abusiva con fines de vigilancia. La lista de individuos en el punto de mira incluye a 14 líderes mundiales y muchos otros activistas, defensores de los derechos humanos, disidentes y figuras de la oposición.

Cómo proteger el iPhone del malware avanzado como Pegasus, Chrysaor, Predator y otras APT

• Cómo mantenerse a salvo de Pegasus y otros spyware móviles avanzados

Lo primero que tenemos que destacar es que Pegasus es un kit de herramientas que se vende a los estados nación a precios relativamente elevados. El coste de una implementación completa podría ascender a millones de dólares. De igual forma, otro malware móvil de tipo APT podría desplegarse mediante exploits de día cero y cero clics. Estos son bastante caros; por ejemplo, Zerodium, una firma de brokers de exploits paga hasta 2,5 millones de dólares por una cadena de infección de cero clics en Android que sea persistente:

 Desde el principio, podemos sacar una conclusión importante: el ciberespionaje patrocinado por los estados nación aporta muchos recursos. Cuando el actor de una amenaza puede permitirse gastar millones, posiblemente decenas de millones o incluso cientos de millones de dólares en sus programas de ofensiva, es muy poco probable que un objetivo pueda evitar la infección. Es decir, si estás en el punto de mira de un actor de este tipo, la cuestión no es si puedes infectarte, sino más bien de cuánto tiempo y recursos dispones antes de la infección.

Cómo protegerse del spyware avanzado en iOS

• Reinicio diario. De acuerdo con la investigación de Amnistía Internacional y Citizen Lab, la cadena de infección de Pegasus con frecuencia depende de días cero y cero clics sin persistencia, así que un reinicio periódico ayuda a limpiar el dispositivo. Si reinicias tu dispositivo todos los días, los atacantes tendrán que infectarlo una y otra vez. Con el tiempo, esto aumenta la posibilidad de detección; ya que podría ocurrir un fallo general o se podrían registrar artefactos que delaten la naturaleza sigilosa de la infección. De hecho, no solo es una teoría, también sucede en la práctica, como analizamos en un caso donde un dispositivo móvil fue objeto de ataque mediante un exploit de cero clics (probablemente, FORCEDENTRY). El propietario del dispositivo reiniciaba su dispositivo de manera regular, de hecho, lo hizo en las 24 horas posteriores al ataque. Los atacantes intentaron ponerlo en el punto de mira unas cuantas veces más, pero terminaron dándose por vencidos después de ser expulsados un par de veces mediante los reinicios.

• Desactiva iMessage. iMessage está integrado en iOS y se activa de forma predeterminada, por lo que resulta un vector atractivo para su explotación. Debido a su activación por defecto, es un mecanismo principal de entrega de cadenas de cero clics y, durante muchos años, los exploits de iMessage han estado muy solicitados, siendo los mejores pagados en las empresas de brokers de exploits. El fundador de Zerodium, Chaouki Bekrar, escribió en el 2019 a WIRED y afirmó que durante los últimos meses se había observado un aumento en la cantidad de exploits de iOS, principalmente cadenas de Safari y iMessage, que investigadores de todo el mundo desarrollaban y vendían; de acuerdo con sus palabras, el mercado de día cero estaba inundado de exploits de iOS y recientemente habían tenido que rechazar algunos de ellos. Sabemos que la vida sin iMessage podría ser muy difícil para algunos (lo que abordaremos más adelante), pero si Pegasus y otro malware móvil tipo APT de alto nivel está en tu modelo de amenazas, se trata de un intercambio que vale la pena plantearse.

• Desactiva Facetime. El mismo consejo que antes.

• Mantén tu dispositivo móvil actualizado: instala los parches más recientes de iOS en cuanto estén disponibles. No todos se pueden permitir ataques zero-click 0-day, de hecho, muchos de los kits de exploits de iOS que vemos tienen como objetivo vulnerabilidades que ya se habían parcheado. Sin embargo, muchas personas utilizan teléfonos viejos y posponen las actualizaciones por varios motivos. Si quieres ir un paso por delante (al menos) del estado nación, actualiza lo antes posible, no tienes por qué esperar a que actualicen los emoticonos para instalar los parches.

• Nunca hagas clic en los enlaces que recibas por mensaje. Este es un consejo sencillo, pero eficaz. No todos los clientes de Pegasus pueden costearse las cadenas de día cero y cero clics valoradas en millones, por lo que dependen de los exploits de 1 clic. Estos llegan en forma de mensaje, a veces por SMS, pero también pueden llegar por otros servicios de mensajería o incluso por correo electrónico. Si recibes un SMS interesante (o cualquier otro mensaje), con un enlace, ábrelo en un ordenador de sobremesa, a poder ser con el navegador TOR o, mejor aún, con un sistema operativo seguro no persistente como Tails.
• Navega en Internet con un navegador alternativo como Firefox Focus en lugar de Safari o Chrome. A pesar de que todos los navegadores en iOS prácticamente utilizan el mismo motor, Webkit, algunos exploits no funcionan bien (consulta el caso de los ATP LightRighter / TwoSailJunk) en algunos navegadores alternativos
  
• No uses iCalendar

Cómo sobrevivir sin iMessage

iMessage y FaceTime eran las razones principales por las que la gente usaba o usa iPhone y, ciertamente, tiene razón.

Quizás que iMessage y FaceTime son dos de las mejores cosas que Apple ha añadido a este ecosistema. Pero cuando te enteras que estas también son de las funciones más explotadas que permiten que el estado nación espíe tu teléfono, intentas escapar de iMessage. ¿Qué fue lo más difícil? Lograr que tus amigos o familiares también dejen de utilizarlo. Aunque te sorprendas, esto es una de las cosas más difíciles en toda esta saga de seguridad.

Tal vez puedas conservar iMessage y vivir feliz y sin malware; la verdad es que Apple mejoró considerablemente el espacio aislado de seguridad en torno a iMessage con BlastDoor en iOS 14. Sin embargo, el exploit FORCEDENTRY que utilizó NSO para entregar Pegasus logró evitar BlastDoor y, por supuesto, ninguna función de seguridad está 100 % a prueba de ataques.

Modo Aislamiento de iOS

Fuentes:

https://www.kaspersky.es/blog/how-to-protect-from-pegasus-spyware/26812/