La verdadera historia detrás Pegasus, el malware que provocó el lanzamiento de iOS 9.3.5

Si mencionas a Ahmed Mansoor e iOS 9.3.5 en la misma frase, pocas personas saben que ambos están muy relacionados. El primero es un activista que lucha por los derechos humanos en su país, Emiratos Árabes Unidos. Gracias a él, Apple emitió ayer la inesperada actualización de seguridad de iOS 9.3.5. En las notas de esta actualización no habrás visto más que referencias a un parche de seguridad.

Lo que Apple no menciona en ellas es la verdadera historia que existe detrás de esta actualización. Una que involucra a una criatura mítica, esta vez en forma de malware. Se trata de Pegasus, un sofisticado software creado por una empresa privada con fines policiales y antiterroristas. 

"El disidente del millón de dólares"

Este es el título del artículo publicado por Citizen Lab, en clara referencia al disidente Ahmed Mansoor. Como hemos mencionado, Mansoor es un activista que lucha por los derechos humanos en EAU. El día 10 de agosto, recibió un SMS en su iPhone 6 en el que le ofrecían pruebas de maltratos en cárceles de su país. Para acceder a ellas, debía tocar el enlace adjunto.

Mansoor sospechó de inmediato. No es la primera vez que su propio gobierno ha intentado infiltrarse en sus comunicaciones:

• En 2011, recibió un email con un archivo .exe creado por la compañía FinFisher.

• En 2012, recibió otro email con un archivo .doc que utilizaba una vieja vulnerabilidad creada por HackingTeam.

• Ahora, en 2016, ha recibido este nuevo SMS con un enlace creado por la compañía israelí NSO Group.

Mansoor contactó inmediatamente con Citizen Lab, una institución de la Universidad de Toronto especializada en derechos humanos y centrada en la vigilancia, apertura y seguridad de internet. Junto con la empresa de seguridad Lookout (que también ha publicado un artículo), descubrieron que este enlace utilizaba hasta tres vulnerabilidades zero-day para hacer jailbreak al dispositivo infectado.

De haber abierto el enlace, el iPhone 6 de Mansoor se hubiera abierto como un melón. Este tridente de vulnerabilidades, que los investigadores han bautizado como Pegasus, proporciona acceso a las cámaras, micrófonos y GPS. Pero también es capaz de registrar la actividad en chats de mensajería, videoconferencia y demás medios de comunicaciones. Estas son las características de cada vulnerabilidad:

1. CVE-2016-4657:  visitar un website malicioso permite ejecutar código arbitrario.

2. CVE-2016-4655: una aplicación es capaz de mostrar la memoria del kernel.

3. CVE-2016-4656: una aplicación es capaz de ejecutar código arbitrario con privilegios de kernel.

Ambas entidades procedieron a notificarle a Apple las vulnerabilidades zero-day, a lo que la compañía de Cupertino respondió con prontitud. Ayer mismo publicaba la actualización de emergencia de iOS 9.3.5, que soluciona el agujero de seguridad.

Apple y la seguridad de iOS

En los últimos años, los dispositivos móviles se han convertido en el secretario personal de millones de personas. Mucho más íntimos que un ordenador, puesto que los llevamos siempre con nosotros. Es por eso que están en el punto de mira de hackers que buscan fallos para poder beneficiarse de ellos. Con frecuencia, estos fallos alcanzan el valor de millones de dólares en el mercado negro.

Compañías como NSO Group, que se cree responsable de Pegasus, desarrollan o adquieren estas vulnerabilidades para después vender sus servicios a gobiernos y estados. Prestan este servicio para fines antiterroristas y policiales, aunque dada la variedad de tipos de gobiernos, los más autoritarios los utilizan para espiar a sus propios ciudadanos. O, como en el caso de Mansoor, a personas que incomodan al régimen por su lucha pro derechos humanos.

La seguridad de los dispositivos de Apple siempre ha sido muy alta. En años anteriores y en plena guerra por el jailbreak, esta comunidad y la compañía de Cupertino se enzarzaron en una pelea por ver quién sobrepasaba al otro. Cual gato y ratón. En años recientes, esta lucha se ha calmado pero ha dado paso a otros agentes más peligrosos. Pegasus es la primera herramienta que permite hacer jailbreak a un dispositivo iOS y abrirlo a su espionaje, todo ello sin tener acceso físico al dispositivo y sin cables.

A pesar de que se trata de una vulnerabilidad extremadamente grave, Apple cuenta con un as en la manga. La escasa fragmentación de iOS, unido a la amplitud de dispositivos que soportan cada versión año a año, hacen que sea relativamente sencillo y rápido corregir este tipo de fallos. iOS 9 está instalado en el 87% de dispositivos que se han conectado a la App Store el pasado 15 de agosto, tal como muestra Apple en su web.

Esto contrasta con la fragmentación de otras plataformas, como Android donde tan solo un 15,2% ejecutan su última versión Marshmallow (datos del 1 de agosto). El laberinto que deben superar las actualizaciones de Android es el responsable de que cada vez que se descubre una vulnerabilidad y se parchea, tarde meses o años en llegar al usuario final (si es que llega). En contraste y como puede verse en este caso, Apple apenas ha tardado unos días en hacerlo disponible a cientos de millones de dispositivos iOS.

Los esfuerzos de Apple en términos de seguridad y privacidad son constantes. La compañía de Tim Cook no duda en enfrentarse incluso al FBI para defender la integridad de sus sistemas operativos. No satisfecha con sus esfuerzos, la compañía ha lanzado un programa de recompensas para quien encuentre fallos en la seguridad de iOS y macOS. Aunque visto el precio que alcanzarían en el mercado, tal vez se están quedando cortos.

Apple reconoce que la seguridad es un asunto en el que hay que trabajar constantemente y nunca puede darse por terminado. iOS no es, ni será nunca, perfecto. Pero por lo menos conocemos el compromiso de Apple por identificar y resolver problemas de seguridad cuanto antes.

En Applesfera | Ya puedes ver la sesión de seguridad de Apple celebrada en el Black Hat 2016.