Citizen Lab reveló que Stelios Kouloglou, exmiembro del Parlamento Europeo, fue hackeado varias veces con el software Pegasus mientras investigaba el abuso de estas herramientas. El ataque permitió el acceso a documentos confidenciales mediante vulnerabilidades de Apple y parece estar vinculado a campañas contra periodistas rusos y bielorrusos. Este caso subraya la preocupación global sobre el uso de spyware comercial para espiar a legisladores y disidentes.



Un nuevo informe de Citizen Lab ha revelado que el exmiembro del Parlamento Europeo, Stelios Kouloglou, tuvo su dispositivo móvil hackeado repetidamente con el notorio spyware Pegasus mientras formaba parte de un comité encargado de investigar el abuso de tales herramientas de vigilancia comercial en el bloque.

"A través del análisis forense de su dispositivo, descubrimos que los atacantes podrían haber tenido acceso a documentos confidenciales y deliberaciones del comité", afirmaron los investigadores de Citizen Lab John Scott-Railton, Bill Marczak, Bahr Abdul Razzak, Kate Pundyk, Siena Anstis y Ron Deibert aquí.

Las infecciones no han sido atribuidas a un gobierno particular en este momento, y no hay pruebas de que el gobierno griego esté detrás de la actividad. Sin embargo, el laboratorio de investigación interdisciplinario canadiense señaló que identificó un solapamiento entre la primera infección y una campaña anterior dirigida a periodistas y activistas exiliados de habla rusa y bielorrusa en Europa.

Esto indica que es probable que un cliente de Pegasus con autorización para espiar en múltiples países europeos sea el responsable del esfuerzo, añadió Citizen Lab.

Kouloglou fue miembro del Parlamento Europeo en el "Comité de Investigación para investigar el uso de Pegasus y spyware de vigilancia equivalente" desde el 24 de marzo de 2022 hasta el 18 de julio de 2023. El Comité PEGA fue creado el 10 de marzo de 2022 para investigar presuntos usos indebidos de ofertas de spyware comercial bajo la ley de la UE, centrándose específicamente en recopilar información sobre la medida en que los estados miembros y otros países utilizan tales herramientas contraviniendo los derechos y libertades de la región.

Análisis de la infección

Citizen Lab dijo que un análisis forense de los artefactos recopilados de su iPhone en mayo de 2026 encontró que fue comprometido con el spyware Pegasus el 21 de octubre de 2022, o alrededor de esa fecha, y nuevamente el 6 y 7 de marzo de 2023.

"El 21-10-2022 a las 10:16, hubo una búsqueda de una dirección de correo electrónico de HomeKit rauharepo888[@]gmail.com. Dos minutos después, un proceso de Pegasus utilizó datos móviles", explicaron los investigadores. Se evalúa que se utilizó un exploit de cero clics en el software de hogar inteligente de Apple, con el nombre en clave PWNYOURHOME, para entregar el spyware. El problema fue solucionado por Apple en iOS 16.3.1.

Se dice que la actividad posterior de Pegasus observada en marzo de 2023 también utilizó el mismo exploit. En ambas ocasiones, el dispositivo de Kouloglou ejecutaba iOS 15.5. Análisis posteriores del teléfono revelaron que Kouloglou recibió notificaciones de amenazas de Apple sobre haber sido objetivo de spyware mercenario en tres ocasiones: 2 de marzo de 2023, 29 de agosto de 2023 y 10 de abril de 2024.

Curiosamente, la primera vez que el teléfono de Kouloglou fue hackeado, fue ingresado en un hospital para una cirugía electiva y fue visitado por el periodista de investigación griego Thanasis Koukakis, quien tuvo su propio teléfono comprometido con el spyware Predator de Intellexa y había testificado ante el Comité PEGA un mes antes.

El momento de la segunda infección en marzo de 2023 también es significativo, ya que coincidió con las intensas discusiones relacionadas con el proceso de redacción final, seguido de una serie de audiencias de PEGA aquí. El incidente ocurrió dos meses antes de la adopción del primer informe del Comité PEGA aquí.

Este acontecimiento marca la primera vez que un miembro del Comité PEGA ha sido identificado públicamente como víctima del spyware Pegasus mientras servía en el comité.

La conexión entre el caso de Kouloglou y la campaña dirigida a periodistas independientes y activistas de la oposición de habla rusa y bielorrusa basados en Europa se basa en el uso de la misma dirección de correo electrónico "rauharepo888[@]gmail.com".

"Según nuestro entendimiento de la infraestructura de infección de Pegasus durante este período, creemos que estos correos electrónicos son únicos para operadores específicos", dijo Citizen Lab. "No podemos decir si la segunda infección en 2023 está conectada de manera similar a este operador, o a uno diferente".

"Basándonos en lo que sabemos de las licencias de NSO Group, esto probablemente indicaría que el cliente tenía una licencia que permitía infecciones en múltiples jurisdicciones de la UE, reduciendo la lista de posibles operadores de Pegasus que podrían ser responsables de este caso".

Los hallazgos plantean nuevas preocupaciones sobre cómo los gobiernos aprovechan el spyware, aparentemente comercializado para combatir delitos graves como el terrorismo y el abuso sexual infantil, para espiar las comunicaciones de periodistas, legisladores, disidentes y críticos.

Este hecho ocurre días después de que Citizen Lab revelara que las autoridades rusas utilizaron las herramientas forenses UFED de Cellebrite para entrar en el iPhone del activista de la oposición detenido Andrey Pivovarov en junio de 2021, tres meses después de que Cellebrite anunciara que dejaría de ofrecer sus herramientas y servicios a Rusia y Bielorrusia.

"Las autoridades buscaron en los dispositivos de Pivovarov organizaciones y contactos clave, así como figuras de la oposición de alto perfil", dijo Citizen Lab. "Los términos de búsqueda incluían a Mikhail Khodorkovsky, quien fundó Open Russia, Anastasiya Burakova, que era en ese momento abogada de derechos humanos en Open Russia y actualmente lidera un grupo prominente contra la guerra, y la ex coordinadora de Open Russia y pareja de Pivovarov, Tatiana Usmanova".

Algunos de estos individuos, incluida Burakova, fueron posteriormente blanco de una campaña de phishing orquestada por un grupo de hackers rusos conocido como COLDRIVER, lo que plantea la posibilidad de que el uso de las herramientas de Cellebrite haya ayudado a facilitar el reconocimiento y permitir un mayor seguimiento y vigilancia de otros oponentes del régimen en el extranjero.

En abril, Citizen Lab también descubrió dos campañas de espionaje distintas y prolongadas que abusan de debilidades conocidas en la infraestructura global de telecomunicaciones para rastrear la ubicación de las personas. Notablemente, estos ataques no requieren el despliegue de malware, lo que los hace sigilosos y más difíciles de detectar.

Una de las dos campañas funcionaba enviando un tipo especial de mensaje de texto con comandos SMS ocultos maliciosos a los objetivos en un esfuerzo por "convertir el dispositivo en una baliza de rastreo encubierta", dijo el informe. La segunda campaña se basó en debilidades del Sistema de Señalización No. 7 (SS7) y los protocolos de señalización Diameter para rastrear el paradero de un individuo sin requerir acceso a sus dispositivos.

Se dice que las dos campañas abusaron de tres proveedores de telecomunicaciones específicos, concretamente 019Mobile, Airtel Jersey (parte de Sure Group) y Tango Networks U.K., que actúan como "puntos de entrada y tránsito de vigilancia dentro del ecosistema de telecomunicaciones" y "permiten que el tráfico se mueva a través de interconexiones de señalización confiables mientras otorgan acceso a actores de amenazas que se esconden detrás de su infraestructura".

"Ambos actores utilizaron herramientas de vigilancia personalizadas para suplantar identidades de operadores, manipular protocolos de señalización y dirigir el tráfico a través de rutas de red de interconexión específicas para evadir las defensas y ocultar la atribución", dijo la organización de derechos digitales.

"Los hallazgos exponen cómo los sospechosos proveedores de vigilancia comercial (CSVs) explotan el ecosistema de interconexión de telecomunicaciones global, aprovechan las redes de operadores privados y llevan a cabo operaciones de rastreo de ubicación encubiertas que pueden persistir sin ser detectadas durante años".

Fuente:
THN