¿Qué es Pegasus?

Ejemplos Phishing personalizado y avanzado

Antecedentes en España

Según el Confidencial, el CNI y la Policía Nacional pagaron al menos 209.000 euros a la empresa de software de vigilancia con sede en Milán Hacking Team por el uso de su software espía en 2010. La compra se reveló por primera vez en 2015 cuando WikiLeaks publicó correos electrónicos internos de Hacking Team. El País informó entonces que el contrato con el CNI tenía una “vigencia de 2010 a 2016, por valor de 3,4 millones de euros”. El CNI reconoció que compró el software espía en ese momento y dijo que lo hizo “de acuerdo con las leyes de contratación del sector público”. CNI se negó a dar más información sobre lo que hicieron con el software espía de Hacking Team. En 2015, Citizen Lab trazó un mapa de la proliferación de Finfisher, un sofisticado paquete de spyware informático que se vende exclusivamente a los gobiernos con fines de inteligencia y aplicación de la ley, e identificó a un presunto cliente español.

El último escándalo de espionaje dirigido en España surgió públicamente en 2020 cuando varios catalanes destacados anunciaron que WhatsApp y Citizen Lab les habían notificado que habían sido objeto de la filtración de WhatsApp Pegasus de 2019. El primero en hacerlo fue Roger Torrent, entonces presidente independentista del Parlamento catalán. WhatsApp confirmó la orientación de Torrent con el spyware de NSO Group. Ernest Maragall, líder del partido independentista Esquerra Republicana de Cataluña, con sede en Barcelona, ​​fue el segundo objetivo en presentarse, seguido de Anna Gabriel, ex diputada regional del partido de extrema izquierda, la Candidatura de la Unidad Popular ( CUP), el activista Jordi Domingo, y el colaborador de Puigdemont Sergi Miquel Gutiérrez. Gabriel fue atacado mientras vivía en Suiza. La oficina del presidente del gobierno español afirmó que "no estaba al tanto" de este espionaje. No obstante, en 2020, El País confirmó que el gobierno español era cliente del Grupo NSO y que el CNI usaba activamente el software espía Pegasus. Un exempleado de NSO comentó a Motherboard que "en realidad estaban muy orgullosos de ellos como clientes"... "Finalmente, un estado europeo".

En Catalunya, más de 60 teléfonos de políticos, abogados y activistas en España y en el resto de Europa han sido intervenidos mediante Pegasus. Se trata del mayor esfuerzo de espionaje sobre un colectivo hasta ahora documentado

El programa Pegasus, diseñado por la compañía israelí NSO, permite escuchar conversaciones, leer mensajes, acceder al almacenamiento, realizar capturas de pantalla, revisar el historial de navegación e incluso activar por control remoto la cámara y el micrófono de los móviles. Este es un programa que supuestamente solo pueden adquirir gobiernos y fuerzas y cuerpos de seguridad para combatir el crimen y el terrorismo.

Revelado el espionaje masivo a líderes y activistas independentistas entre 2017 y 2020

El teléfono del actual presidente de la Generalitat, Pere Aragonés, y los de más de 60 políticos y activistas independentistas catalanes y algunos vascos  fueron objetivo de espionaje en los últimos años a través de sus teléfonos móviles. El método utilizado fue principalmente un software de ciberespionaje denominado Pegasus, creado por la empresa israelí NSO Group, según se desprende de un informe del laboratorio The Citizen Lab, con sede en Canadá, que investiga el control de la información y la vigilancia a través de la red, y recoge en un extenso reportaje la revista The New Yorker.

Según el informe titulado CatalanGate, Extensive Mercenary Spyware Operation against Catalans Using Pegasus and Candiru, más de sesenta teléfonos de políticos catalanes -y vascos- vinculados al procés han sido objeto de un intento de espionaje a través de la infección del terminal mediante los software maliciosos Pegasus y Candiru, o han espiados. Citizen Lab estima que se trata del objetivo político con un mayor contingente de víctimas detectado hasta ahora.

Declaraciones entrevista a Shalev Hulio (39 años), director ejecutivo CEO y cofundador de NSO responsable del spyware Pegasus 

- Si no eres un "Bin Laden del mundo", las herramientas de NSO no te afectan 

 "Si no eres un criminal, no tengas miedo"

Aspectos técnicos de la infección 

 Si el spyware no es capaz de comunicarse con su servidor de comando y control durante más de 60 días, o si detecta que se ha instalado en el dispositivo incorrecto o con la tarjeta SIM incorrecta, se borra.

Se usaron múltiples exploits de iMessage sin clic para hackear iPhones de objetivos catalanes con Pegasus entre 2017 y 2020.

 

• Es posible que el exploit se haya corregido en iOS 13.2.

 

El exploit HOMAGE parece haber estado en uso durante los últimos meses de 2019 e involucró un componente de clic cero de iMessage que lanzó una instancia de WebKit en el proceso com.apple.mediastream.mstreamd

 

La instancia de WebKit en el proceso com.apple.mediastream.mstreamd obtuvo el andamiaje de JavaScript que recuperamos de un teléfono infectado. El andamiaje se obtuvo de /[uniqueid]/stadium/goblin. Después de realizar las pruebas, el andamiaje obtiene el exploit de WebKit de /[uniqueid]/stadium/eutopia si las pruebas tienen éxito.

kismet

Los clics cero utilizados también incluyeron el exploit KISMET, que fue un día cero en el verano de 2020 contra iOS 13.5.1 e iOS 13.7. Aunque el exploit nunca se capturó ni documentó, aparentemente se solucionó con los cambios introducidos en iOS14, incluido el marco BlastDoor.

El caso más reciente que hemos documentado de un iPhone de un objetivo catalán infectado con Pegasus fue en diciembre de 2020, a través del exploit KISMET.

El ataque usando WhatsApp en 2019

Se ha confirmado previamente que varios catalanes se encontraban entre los objetivos de Pegasus a través del ataque de WhatsApp de 2019, que se basó en la vulnerabilidad (ahora ya parcheada) CVE-2019-3568. Fue de la misma manera, utilizando la  grave vulnerabilidad de WhatsApp, que espiaron al dueño de Amazon, el Sr. Jeff Bezos.

Fuentes:

https://www.lavanguardia.com/politica/20220418/8204295/pere-aragones-espiado-software-israeli-pegasus-2020.html
https://citizenlab.ca/2022/04/catalangate-extensive-mercenary-spyware-operation-against-catalans-using-pegasus-candiru/