Ayer estallaba la noticia bomba tras confirmar el gobierno que dos de sus , Pedro Sánchez y Margarita Robles, habían sido espiados con Pegasus. El polémico software israelí volvía a ser noticia después de que, hace unos días, se supiera que líderes independentistas, jueces y de la sociedad civil catalana, también habían sido espiados. El gobierno confirmó un poco más tarde que habían extraído 2,6GB de datos y 130MB de datos del móvil del presidente del gobierno Pedro Sánchez. El problema es que esto no cuadra con el funcionamiento de la herramienta.
Ayer 2 de mayo, festivo en varias comunidades, el gobierno sorprendía convocando una rueda de prensa en la que confirmaba que los móviles del presidente del Gobierno, Pedro Sánchez, y de la ministra de Defensa, Margarita Robles, habían sido intervenidos mediante el software Pegasus. La información se puso rápidamente en conocimiento de la Audiencia Nacional.
Según parece, las intrusiones en el móvil del presidente se produjeron en mayo de 2021 mientras que al móvil de la ministra de Defensa Margarita Robles accedieron en junio 2021. En todo caso, el gobierno apunta a entidades extranjeras como responsables del robo de información. La oposición duda del momento elegido por el gobierno para hacer público algo así, cuando en realidad todo apunta a que se conocía desde antes.
Según un informe del CNI al que han tenido alguno medios, Moncloa conocía el espionaje con Pegasus desde julio de 2021. Esto refuerza la tesis de la oposición de que ha sido desvelado en estos momentos para intentar contrarrestar el espionaje a los líderes catalanes que ha provocado una crisis de gobierno. El informe, elaborado por el CCN o Centro Criptológico Nacional, se titula “Detección de software Pegasus en dispositivos iPhone” y explica cómo detectar la existencia de este software espía.
Pegasus infecta y permanece en el terminal
ADSLZone se ha puesto en o con diferentes empresas de ciberseguridad y todas coinciden en que Pegasus no roba paquetes concretos de información. Una vez que el software espía infecta un teléfono, permanece en estado conectado comprometiendo toda la información que entra o sale del smartphone. Por este motivo, la versión del ejecutivo hace aguas a la hora de cuantificar en una serie de megas o gigas los datos que se han «robado».
Es importante tener en cuenta que el ataque de Pegasus es silencioso y no proporciona ninguna evidencia de funcionamiento que haga sospechar de una posible infección. Solo es posible comprobar el ataque mediante un exhaustivo análisis forense que encuentre trazas de las modificaciones en el sistema que ha hecho la herramienta. Se trata además de un software en completa evolución que se va adaptando a las vulnerabilidades críticas que van apareciendo en los teléfonos. Así, por ejemplo, en el iPhone el software israelí ha utilizado fallos de seguridad en Apple Music o iMessage para realizar infecciones. También WhatsApp ha estado en el punto de mira y ha logrado explotar vulnerabilidades que en teoría ya han sido corregidas.
En principio Pedro Sánchez o Margarita Robles
La gran virtud de Pegasus, hablando desde el punto de vista puramente técnico, es su capacidad para aprovechar las vulnerabilidades. Todo software, ya sea iOS, Android o cualquier aplicación, tiene agujeros de seguridad más o menos evidentes. Esto es algo normal dentro del proceso de desarrollo. La labor de los responsables de estas aplicaciones o sistemas es parchear todas esas brechas de seguridad a la mayor brevedad. Pegasus se aprovecha de todas ellas y se va adaptando con las que son aprovechables en ese momento.
A lo largo de los años, ha utilizado fallos de seguridad o exploits en aplicaciones como Apple Music o iMessage, en el caso de los terminales de Apple, para colarse en los dispositivos de la manzana mordida. A todo esto, suma una excelente capacidad de no dejar rastro, reduciendo al máximo las trazas en los registros del sistema y cambiando su denominación para pasar desapercibido.
Para ello, se camufla dentro de procesos legítimos adoptando nombres como ABSCarryLog, aggregatenotd, ckkeyrollfd, com.apple.Mappit.SnapshotService, com.apple.rapports.events, CommsCenterRootHelper, Diagnostic-2543, eventsfssd, fmld, JarvisPluginMgr, launchafd, MobileSMSd, nehelprd, pcsd, PDPDialogs, ReminderIntentsUIExtension, rld o roled…
Todo esto, sumado a la capacidad de personalizar la herramienta para cada caso, hacen prácticamente imposible su detección para los s normales y la complican en extremo para los expertos en ciberseguridad. Algunos organismos, como Amnistía Internacional, ofrecen la herramienta Mobile Verification Toolkit (MVT) que permite identificar trazas potenciales que indiquen que el terminal ha sido comprometido.
