Pegasus, al desnudo: un intruso silencioso y con bot¨®n de autodestrucci¨®n

¡°Pegasus fue desarrollado por veteranos oficiales de las agencias de elite para proporcionar a Gobiernos nuevas formas de interceptaci¨®n en el campo de batalla de la ciberseguridad¡±. NSO Group, la firma israel¨ª que vende el programa esp¨ªa m¨¢s potente del mundo, exaltaba as¨ª las bondades de su sistema estrella en 2015 en un folleto dirigido a sus clientes potenciales: jefes de servicios secretos, polic¨ªas y ej¨¦rcitos. La carta de presentaci¨®n de Pegasus revela la singularidad de una tecnolog¨ªa que ofrece al organismo gubernamental atacante ¨DNSO sostiene que solo vende a entidades p¨²blicas¡ª distintas garant¨ªas para colarse en silencio y sin despertar sospechas. Entre ellas, una suerte de bot¨®n del p¨¢nico para ¡°autodestruir¡± el virus si el intruso llega a la conclusi¨®n de que ha sido detectado.

El folleto, de uso restringido, figura entre los anexos de una denuncia presentada en 2019 por WhatsApp contra NSO Group en un juzgado de San Francisco (California) en la que la aplicaci¨®n de mensajer¨ªa acusaba al vendedor de Pegasus de aprovechar un fallo de seguridad para introducir el virus esp¨ªa en 1.400 m¨®viles en el mundo.

04:59

?C¨®mo funciona Pegasus?

?Qu¨¦ ofrece Pegasus?

Es un programa que se instala a distancia y que es capaz de asaltar m¨®viles con sistemas operativos Android e iOs (iPhone). Permite ¡°en cualquier momento y lugar¡±escuchar llamadas, extraer la lista de contactos, rastrear videollamadas y mensajes de WhatsApp, Viber y Skype. Y tambi¨¦n abre la puerta a monitorizar Facebook, hacer fotos y v¨ªdeos con las c¨¢maras, conectar el micr¨®fono y absorber el historial del navegador y el hist¨®rico de llamadas. El virus conoce al instante hasta el nivel de bater¨ªa del tel¨¦fono. Puede recopilar datos sensibles, como informaci¨®n financiera, y robar las contrase?as del espiado. Tambi¨¦n puede husmear en el calendario o la agenda; y recabar archivos, fotos y correos. Pegasus conoce si su objetivo borra un tel¨¦fono o anula una cita de su agenda a ¨²ltima hora. Y avisa en el momento al atacante, eludiendo los radares de los antivirus. En definitiva: ofrece una r¨¦plica, un espejo, del terminal.

?Pegasus sabe d¨®nde est¨¢n sus v¨ªctimas?

S¨ª. Cuando Pegasus conquista un m¨®vil, el espiado comienza a llevar, sin saberlo, una suerte de baliza de seguimiento. El atacante puede conocer en tiempo real d¨®nde se encuentra su v¨ªctima. Aparece como un mu?eco en movimiento sobre un mapa. Si el espiado desconecta el GPS, Pegasus enciende el seguimiento unos segundos y lo vuelve a desactivar despu¨¦s para no despertar sospechas.

?Qu¨¦ hace Pegasus para ser indetectable?

El virus recurre a distintos subterfugios para que la v¨ªctima nunca se percate de su presencia. Cuando al espiado le queda menos del 5% de bater¨ªa, el sistema deja de reportar datos al atacante para no agotar la carga, lo que podr¨ªa llamar la atenci¨®n. Si el objetivo viaja al extranjero y activa el roaming (itinerancia de datos), Pegasus solo reporta la informaci¨®n robada a trav¨¦s de wifi. As¨ª se evita que una abultada factura por conectarse a una red extranjera haga saltar las alarmas. Adem¨¢s, el sistema solo hace fotos y graba v¨ªdeos sin flash.

?Qu¨¦ pasa si la v¨ªctima nota algo raro en su tel¨¦fono?

En ese caso, el atacante, para evitar ser descubierto, puede activar la ¡°autodestrucci¨®n¡±: el virus desaparece del tel¨¦fono y, te¨®ricamente, no es posible su detecci¨®n posterior con un an¨¢lisis forense.

?C¨®mo penetra el programa en un tel¨¦fono?

Colar el agente ¨Deufemismo con el que NSO designa a su virus¨D es la fase m¨¢s ¡°sensible e importante de la operaci¨®n de inteligencia¡±. Cada infecci¨®n es ¡°¨²nica¡± y personalizada. Y se desarrolla a trav¨¦s de varias tretas. Inicialmente, Pegasus intenta infiltrarse a distancia. El m¨¦todo m¨¢s eficaz es el ataque zero click: basta con que el usuario tenga encendido el m¨®vil para que pueda ser infectado a trav¨¦s de un fallo de seguridad de su sistema operativo o de alguna aplicaci¨®n. Otra v¨ªa son los SMS y correos electr¨®nicos trampa: mensajes personalizados que al pinchar redirigen a una web infectada. Si todo esto falla, la firma sugiere a sus clientes aprovechar alg¨²n descuido para instalar este malware manualmente (con alg¨²n agente sobre el terreno) ¡°en menos de cinco minutos¡±.

?Cu¨¢nto cuesta el programa esp¨ªa?

No existe un precio fijo. NSO Group vende Pegasus a cada uno de sus clientes por una cantidad diferente. Ghana pag¨® ocho millones de euros en diciembre de 2015 para pinchar ¡°25 objetivos simult¨¢neos¡±. El importe contemplaba una garant¨ªa de 12 meses, derechos para introducir el virus en dispositivos locales y un curso de formaci¨®n de dos semanas, seg¨²n un contrato incorporado en la denuncia de WhatsApp de 2019.

El creador de Pegasus elude revelar detalles sobre sus clientes. La firma ofrec¨ªa su malware a 60 organismos p¨²blicos de 20 pa¨ªses el pasado a?o y asegura que rechaz¨® el 15% de ventas por proceder de Estados que incumpl¨ªan los derechos humanos. En 2018, la compa?¨ªa report¨® unos ingresos de 235 millones. Pese a las decenas de esc¨¢ndalos que han salpicado a NSO Group desde 2016 ¨Duso del sistema de espionaje para atacar a periodistas, diplom¨¢ticos y opositores en pa¨ªses como M¨¦xico o Arabia Saud¨ª¨D, la firma asegura que solo ha revocado desde entonces sus licencias a una decena de clientes.