Citizen Lab detectó los ataques de iPhone de NSO sin clics vigilando teléfonos en riesgo

Para 2020, el spyware Pegasus de NSO Group podía tomar el control de un iPhone sin ningún clic, y los clientes de NSO lo dirigían contra periodistas. El corresponsal de The New York Times Ben Hubbard, que informaba sobre Arabia Saudita y escribía un libro sobre el príncipe heredero Mohammed bin Salman, fue objetivo desde junio de 2018 hasta junio de 2021. Las quejas a NSO y los reportes públicos de Hubbard y Citizen Lab no lo detuvieron: su teléfono fue hackeado de nuevo con alta confianza en julio de 2020 y junio de 2021.

La contraofensiva de Citizen Lab consistió en vigilar los teléfonos a los que los atacantes realmente apuntaban. En diciembre de 2019 comenzó a ejecutar VPN en los dispositivos de usuarios potencialmente objetivo, y analizó copias de seguridad y registros en busca de artefactos, porque incluso un exploit sin clics debe viajar por la red y tocar el sistema de archivos. En septiembre de 2021 el laboratorio capturó en el mundo real el exploit FORCEDENTRY de NSO, recuperado de la copia de seguridad del iPhone de un activista saudí, lo sometió a ingeniería inversa y lo divulgó a Apple.

La misma lente convirtió las infecciones silenciosas de Hubbard en un registro público con fechas: huecos en su archivo DataUsage.sqlite, un proceso llamado 'bh', adjuntos de iMessage eliminados y la misma cuenta de entrega usada contra el activista saudí permitieron a Citizen Lab concluir con alta confianza que su iPhone fue hackeado el 12 de julio de 2020 y el 13 de junio de 2021. Apple publicó un parche para FORCEDENTRY en iOS 14.8 seis días después de la divulgación. El laboratorio retuvo algunas firmas, el HIPPOCRENE FACTOR, para preservar su visibilidad sobre el spyware de NSO.

Instrumentar teléfonos en riesgo con VPN para atrapar spyware sin clics en el acto y luego divulgarlo al proveedor

Un ataque sin clics aún tiene que llegar al teléfono por la red y tocar su sistema de archivos, así que una VPN y las copias de seguridad muestran lo que la víctima no puede: el ataque llega como evidencia con fecha.

Los teléfonos pertenecían a personas a las que los clientes de NSO realmente apuntaban, así que Citizen Lab capturó ataques operativos reales y pudo vincular la herramienta con NSO con alta confianza.

Divulgar el exploit capturado dio a Apple lo que necesitaba: FORCEDENTRY fue parcheado en iOS 14.8 seis días después, una corrección que ninguna queja, demanda ni reporte público había producido.

Mantener sin publicar algunas firmas de detección, como el HIPPOCRENE FACTOR, permitió al laboratorio seguir detectando infecciones después de hacer públicos el resto de sus métodos.

Instrumentar a la población a la que apunta un atacante: una VPN más el análisis de copias de seguridad convierte un ataque sin clics invisible en evidencia fechada y atribuible, y divulgarla al proveedor hace que se publique la corrección.

Apple publicó iOS 14.8 seis días después de la divulgación de Citizen Lab en septiembre de 2021, cerrando FORCEDENTRY. Citizen Lab y Amnistía pasaron a verificar infecciones similares de personal de Al Jazeera, periodistas en Francia y Hungría, y editores de The Wire de India, y la filtración del Proyecto Pegasus mostró con qué amplitud los clientes de NSO abusaron de la herramienta. El caso de Hubbard mostró los límites de la divulgación: fue infectado de nuevo en 2021 después de hacer público el caso a principios de 2020, y Citizen Lab concluyó que NSO no tomó medidas efectivas para detener el hostigamiento contra un periodista estadounidense prominente.