Kaspersky anunció el supuesto ciberataque y publicó un informe técnico analizándolo, en el que la empresa admitió que su análisis aún no está completo. La compañía dijo que los atacantes, que en este momento son desconocidos, entregaron el malware con un exploit de clic cero a través de un archivo adjunto de iMessage, y que todos los eventos ocurrieron en un lapso de tiempo de uno a tres minutos. En este momento, no está claro si los hackers explotaron nuevas vulnerabilidades que no estaban parcheadas en ese momento, lo que significa que eran los llamados días cero.

• La empresa rusa de ciberseguridad Kaspersky afirmó que piratas informáticos que trabajaban para un gobierno atacaron los iPhones de sus empleados con un malware desconocido.

Los investigadores de Kaspersky declararon que descubrieron el ataque cuando detectaron "actividad sospechosa procedente de varios teléfonos con iOS", mientras supervisaban su propia red Wi-Fi corporativa.

La empresa llamó a este supuesto ataque contra sus propios empleados "Operación Triangulación" y creó un logotipo para ello. Ni Kaspersky ni Apple respondieron inmediatamente a las peticiones de comentarios.

Los investigadores de Kaspersky dijeron que crearon copias de seguridad offline de los iPhones atacados y los inspeccionaron con una herramienta desarrollada por Amnistía Internacional llamada Mobile Verification Toolkit, o MVT, que les permitió descubrir "rastros de compromiso". Los investigadores no dijeron cuándo descubrieron el ataque, y dijeron que encontraron rastros de él que se remontan a 2019, y que "el ataque está en curso, y la versión más reciente de los dispositivos atacados con éxito es iOS 15.7."

Si bien el malware fue diseñado para limpiar los dispositivos infectados y eliminar los rastros de sí mismo, "es posible identificar de manera confiable si el dispositivo se vio comprometido", escribieron los investigadores.

En el informe, los investigadores explican paso a paso cómo analizaron los dispositivos infectados y cómo otros pueden hacer lo mismo. Sin embargo, no incluyeron muchos detalles de lo que descubrieron con este proceso.

Los investigadores dijeron que la presencia de "líneas de uso de datos que mencionan el proceso llamado 'BackupAgent'", era la señal más fiable de que un iPhone había sido hackeado, y que otra de las señales era que los iPhones comprometidos no podían instalar actualizaciones de iOS.

"Observamos que los intentos de actualización terminaban con un mensaje de error "Software Update Failed. Se produjo un error al descargar iOS", escribieron los investigadores.

La compañía también publicó una serie de URL que se utilizaron en la operación, incluyendo algunas con nombres como Unlimited Teacup y Backup Rabbit.

El Equipo Ruso de Respuesta a Emergencias Informáticas (CERT), una organización gubernamental que comparte información sobre ciberataques, publicó un aviso sobre el ciberataque, junto con los mismos dominios mencionados por Kaspersky.

En otro comunicado, el Servicio Federal de Seguridad de Rusia (FSB) acusó a los servicios de inteligencia estadounidenses de piratear "miles" de teléfonos Apple con el objetivo de espiar a diplomáticos rusos, según una traducción en línea. El FSB no aportó pruebas de sus afirmaciones.

La descripción de los ataques del FSB se hace eco de lo que Kaspersky escribió en su informe, pero no está claro si las dos operaciones están conectadas.

No es la primera vez que los hackers apuntan a Kaspersky. En 2015, la empresa anunció que un grupo de piratas informáticos de un Estado-nación, que utilizaba malware que se creía desarrollado por espías israelíes, había pirateado su red.

Fuentes:
https://techcrunch.com/2023/06/01/kaspersky-says-attackers-hacked-staff-iphones-with-unknown-malware/

https://securelist.com/trng-2023/

https://securelist.com/operation-triangulation/109842/