Apple ha publicado una actualización de emergencia que corrige tres vulnerabilidades desconocidas hasta ahora en el iPhone, después de que investigadores descubrieran que un simple enlace de mensaje de texto podía desbloquear silenciosamente un dispositivo e instalar software espía de nivel gubernamental capaz de leer mensajes, grabar llamadas y rastrear los movimientos del usuario.

La actualización iOS 9.3.5, publicada el jueves, corrige una cadena de exploits que los investigadores denominan "Trident". El boletín de seguridad identifica dos fallos en el kernel y una vulnerabilidad en WebKit, ambos atribuidos a Citizen Lab y a la empresa de seguridad móvil Lookout. En conjunto, estos fallos podrían otorgar a un atacante el control del sistema tras hacer clic en un enlace malicioso.

El ataque no se descubrió mediante una inspección rutinaria del laboratorio, sino porque Ahmed Mansoor, un defensor de los derechos humanos en los Emiratos Árabes Unidos, recibió mensajes de texto sospechosos que prometían información sobre detenidos presuntamente torturados en cárceles emiratíes. En lugar de abrir los enlaces, los envió a investigadores.

El ataque comienza con un mensaje cuidadosamente elaborado dirigido a una persona específica. Si el destinatario hace clic en el enlace, se vulnera el navegador, se eluden las protecciones del núcleo del sistema operativo y se instala software espía sin el proceso de aprobación habitual. Esta secuencia convierte tres vulnerabilidades distintas en un jailbreak remoto fiable.

de Citizen Lab sobre los mensajes de Mansoor vinculó la infraestructura con NSO Group, una empresa israelí que vende un producto de vigilancia llamado Pegasus a clientes gubernamentales. El informe describe a Mansoor como un objetivo recurrente de vigilancia electrónica debido a sus críticas al gobierno de los Emiratos Árabes Unidos.

Una vez instalado, Pegasus puede interceptar llamadas y mensajes, recopilar contactos y calendarios, monitorear las comunicaciones de aplicaciones cifradas, activar el micrófono y la cámara, e informar la ubicación del dispositivo. El software espía aprovecha su acceso privilegiado al teléfono, recopilando información después de que los mensajes se hayan descifrado para el usuario.

Un mercado comercial para el acceso de día cero

Este descubrimiento ofrece una perspectiva única de una industria de vigilancia privada que compra o desarrolla fallos de software no divulgados y los distribuye a gobiernos. Estas vulnerabilidades de "día cero" son valiosas precisamente porque ni el fabricante ni los usuarios saben de su existencia. Se informa que una cadena de ataque funcional contra un iPhone actual puede alcanzar un precio muy elevado.

Según Wired , Pegasus se comercializa entre agentes estatales y puede transmitir llamadas, correos electrónicos, pulsaciones de teclas, audio, vídeo y otra información a un operador. NSO Group afirma que su tecnología está destinada a gobiernos que luchan contra el crimen y el terrorismo, pero el atentado contra Mansoor demuestra cómo estas herramientas pueden utilizarse contra figuras de la sociedad civil.

de Lookout sobre Trident explica que la operación utiliza remitentes falsificados y dominios anonimizados para distribuir el enlace malicioso. Asimismo, advierte a las organizaciones que un ejecutivo o empleado objetivo podría exponer información corporativa si un dispositivo personal comprometido se conecta a los servicios de la empresa.

Apple actúa con rapidez tras la revelación

Citizen Lab y Lookout notificaron a Apple el 15 de agosto. Diez días después, la compañía distribuyó iOS 9.3.5 para iPhones, iPads y iPod Touch compatibles. Este breve lapso demuestra la gravedad de las vulnerabilidades y la importancia de una divulgación responsable, pero también implica que los usuarios deben instalar la actualización antes de que la solución les brinde protección.

Según el boletín de Apple, una vulnerabilidad podría revelar la memoria del kernel, otra podría ejecutar código arbitrario con privilegios de kernel y el fallo de WebKit podría permitir la ejecución de código a través de contenido web malicioso. El análisis de Ars Technica señala que las tres vulnerabilidades estaban siendo explotadas antes de que se publicaran los parches, lo que convierte esta actualización en una actualización de seguridad urgente en lugar de un paquete de mantenimiento rutinario.

Es improbable que la gran mayoría de los usuarios de iPhone sean seleccionados para una costosa operación personalizada de Pegasus. Sin embargo, la existencia de la vulnerabilidad afecta a todos los que utilizan software vulnerable. Una vez que se difunde el conocimiento de una falla, otros atacantes pueden intentar reproducirla, y una herramienta diseñada para un objetivo de inteligencia específico puede, con el tiempo, ser adaptada o filtrada.

El límite de seguridad se mueve dentro del teléfono

Pegasus es especialmente importante porque no necesita descifrar el cifrado durante la transmisión. Aplicaciones como iMessage, WhatsApp y otros servicios de mensajería segura pueden proteger los datos entre dispositivos, pero el software espía que controla un dispositivo puede leer los mensajes en la pantalla, capturar las pulsaciones del teclado o grabar audio directamente.

Network World informó que el ataque puede robar una amplia gama de información y que se ha asociado con objetivos más allá de Mansoor, incluyendo a un periodista de investigación. Por lo tanto, el incidente traslada el debate del acceso teórico a la vulneración demostrada de dispositivos de consumo completamente actualizados.

Esto también refuerza el argumento de Apple de que la creación deliberada de "puertas traseras" para las fuerzas del orden aumentaría el riesgo para sistemas que ya enfrentan sofisticados intentos de acceso. La disputa del FBI con Apple por el teléfono del atacante de San Bernardino se centró en la colaboración forzada; Pegasus demuestra que existe un mercado comercial que busca el acceso sin la cooperación del fabricante.

La actualización es la defensa inmediata

Los usuarios deben instalar iOS 9.3.5 a través de Ajustes, General y Actualización de software. El parche está disponible para iPhone 4s y posteriores, iPad 2 y posteriores, y iPod Touch de quinta generación y posteriores. Los dispositivos que no pueden recibir las últimas actualizaciones de seguridad quedan más expuestos a medida que evolucionan las técnicas de explotación.

El informe técnico de BleepingComputer recomienda una instalación inmediata y describe la cadena como un jailbreak remoto utilizado para instalar Pegasus en un dispositivo objetivo. Los usuarios también deben desconfiar de los enlaces inesperados, especialmente aquellos que contienen afirmaciones urgentes o con un fuerte componente emocional.

La lección más importante no es que los iPhones sean excepcionalmente inseguros, sino que una plataforma ampliamente confiable atrajo un ataque sofisticado y bien financiado, capaz de combinar varias vulnerabilidades poco comunes. Apple ha cerrado las puertas específicas identificadas por los investigadores, pero los incentivos comerciales para encontrar otras siguen vigentes.

La negativa de Mansoor a acceder a un enlace evitó una filtración invisible y expuso una capacidad de vigilancia que, de otro modo, habría permanecido oculta. Para cientos de millones de usuarios de iOS, ese acto individual creó una vulnerabilidad. Para los gobiernos, las empresas de seguridad y los fabricantes de tecnología, reveló la rapidez con la que se difumina la línea entre el espionaje selectivo y el riesgo para el consumidor una vez que se detecta una vulnerabilidad de día cero.