El mundo de los fabricantes de programas espía en la sombra

El año pasado, Facebook anunció que los usuarios de WhatsApp eran vulnerables a un sofisticado exploit que podía hackear los teléfonos con sólo unas pocas llamadas no contestadas. El nuevo exploit probablemente formaba parte de Pegasus, una suite de software espía desarrollada por NSO Group, con sede en Tel Aviv. Según WhatsApp y Citizen Lab, un centro de investigación de la Universidad de Toronto, la empresa puede hacerse con los teléfonos y ordenadores de clientes gubernamentales muy bien pagados. Mientras que el Departamento de Justicia de EE.UU. dijo recientemente a Fast Company. explicóSi bien la agencia está al tanto de la amenaza, un representante de la misma no quiso comentar si está combatiéndola activamente. Aunque NSO es quizás el fabricante de software espía para móviles más conocido -una reciente demanda alega que su tecnología Pegasus se utilizó para rastrear al disidente saudí asesinado Jamal Khashogg-, es sólo una de las muchas empresas turbias que ofrecen software malicioso para teléfonos inteligentes que, aunque oficialmente se dirige a delincuentes y terroristas, también puede utilizarse para vigilar a activistas, abogados y otros miembros de la sociedad civil. Decenas de empresas de software espía ofrecen una gama de vigilancia de los teléfonos inteligentes, desde la grabación de vídeo y audio hasta la localización y el seguimiento de los textos, incluso de regímenes con un dudoso historial de derechos humanos. La tecnología ha sido utilizada, por ejemplo, por misteriosos elementos en países como Bahréin y Etiopía, que utilizaron el Sistema de Control Remoto de la empresa milanesa Hacking Team y el software de espionaje FinFisher del grupo británico Gamma, respectivamente, para atacar a los disidentes en su país y en el extranjero. 

La OSN ha negado rotundamente cualquier papel en el seguimiento de Khashoggi. El director general de la empresa, Shalev Hulio, declaró al periódico israelí Yedioth Ahronoth a principios de este año que "Khashoggi no fue rastreado por ningún producto o tecnología de NSOincluyendo las escuchas telefónicas, la vigilancia, el seguimiento de la ubicación y la recopilación de información". En enero, un portavoz de la NSO dijo a Fast Company que las demandas eran "Nada más que un truco de relaciones públicas vacíopara continuar el bombardeo propagandístico contra el trabajo de la OSN que ayuda a las agencias de inteligencia a luchar contra el crimen y el terrorismo en todo el mundo".

Otras empresas son las israelíes Ability (antigua socia de NSO Group), Verint y Elbit Systems, que tienen clientes en todo el mundo, como el Caja de herramientas Índice de la industria de la vigilancia espectáculos. Y en los últimos meses, una nueva alianza de algunas empresas públicas y no identificadas ha lanzado Intellexa, un consorcio que espera desafiar a NSO Group y Verint en el floreciente mercado de la interceptación legal. A finales de mayo, Senpai, una "empresa de consultoría e I+D" especializada en soluciones de ciberinteligencia e IA, se unió a Intellexa como su cuarto socio oficial (otros cinco no se han nombrado públicamente) por su experiencia en el análisis de datos basado en la IA.

Para la sociedad civil es especialmente preocupante la inseguridad jurídica que rodea a estas herramientas de espionaje. Mientras investigadores de seguridad como Citizen Lab siguen descubriendo casos de abuso y los abogados de los afectados libran la batalla en los tribunales, los contratos federales para la venta y el uso de estas herramientas de espionaje para móviles continúan sin apenas supervisión. El sector es un auténtico salvaje oeste de las armas cibernéticas, sin sheriffs que protejan a quien tenga un smartphone.

Un mercado de hazañas

Karsten Nohl, criptógrafo y director general de Security Research Labs, afirma que las herramientas de interceptación legítimas tienen dos dimensiones: ¿El teléfono inteligente es un iPhone o no, y la hazaña requiere la "ayuda" del usuario del teléfono? Por ejemplo, algunos exploits obligan a los usuarios -a pesar de las advertencias- a instalar una actualización de seguridad que descarga el malware en su dispositivo. Según Nohl, los exploits más fáciles son los de los teléfonos Android, y los preferidos funcionan a través de Internet, mientras que otros sólo funcionan con Wi-Fi. Según Nohl, NSO Group puede hackear la mayoría de las versiones de iPhone y muchos teléfonos Android, y esto suele hacerse de forma remota.

"Lo más difícil sería una explotación remota de un iPhone, y por lo que veo, NSO Group tiene el monopolio la mayor parte del tiempo", dice Nohl. "No hay nadie que pueda prometer un acceso continuo al iPhone sin la ayuda de los usuarios".

Sin embargo, cuando se trata de cuestiones de vigilancia, gubernamental o comercial, muy a menudo no sabemos lo que no sabemos. Nohl dice que un exploit del iPhone puede costar millones de dólares a un cliente. Un exploit para Android, en cambio, sólo cuesta cientos de miles de dólares. El ecosistema del iPhone es limpio, con un solo software para una serie de dispositivos, lo que genera una investigación y un desarrollo altamente especializados, de ahí los altos precios del mercado. El ecosistema de Android está mucho más fragmentado, lo que requiere menos esfuerzo para desarrollar exploits para diferentes fabricantes y teléfonos, pero más trabajo para mantener los exploits en el tiempo.

Apple se ha negado a comentar públicamente las capacidades de NSO o de otros fabricantes de programas espía. En 2016, después de que una investigación de Citizen Lab sobre Pegasus llevara a Apple a emitir un Parche de seguridad para iPhones La empresa no especificó el motivo ni el culpable, ni se puso en contacto con grupos de derechos humanos. Ese mismo año, Google y la empresa de ciberseguridad Lookout dijeron que habían encontrado rastros de software espía NSO en "unas pocas docenas" de teléfonos inteligentes en 11 países, sobre todo en Israel, México, Georgia y Turquía.

Hay opciones más baratas. En lugar de atacar los teléfonos, Nohl dice que la mayoría de los vendedores de software espía ofrecen el espionaje SS7, que explota las vulnerabilidades de la red celular. El SS7, o Sistema de Señalización nº 7, es un protocolo que permite que diferentes redes telefónicas se comuniquen entre sí. Si un exploit da a los hackers acceso al SS7, pueden interceptar la información de los usuarios de smartphones, como llamadas de voz, mensajes de texto, información de localización y otros datos. "Por supuesto, tu iPhone puede ser todo lo fuerte que quieras en cuanto a seguridad, pero si la red celular está filtrando información, eso está fuera del control del teléfono y de Apple". Empresas como Circles anuncian muy activamente que pueden rastrear la ubicación de un teléfono a través de SS7".

Nohl supone que todos los vendedores de programas espía tienen acceso a las redes SS7. Sin embargo, Nohl afirma que los exploits de Android son cada vez más sofisticados y que están entrando nuevos competidores en el mercado, poniendo estas herramientas en manos de un número cada vez mayor de clientes.

La conexión israelí

Ability, una empresa de software espía con sede en Tel Aviv, vende algo llamado Sistema de Interceptación Ilimitada (ULIN), que, junto con un sistema de interceptación celular táctico llamado IBIS (Sistema de Interceptación Intermedia), permite a Ability interceptar las redes GSM, UMTS, LTE Y CDMA para espiar el smartphone de un objetivo. México gastó 42 millones de dólares en ULIN y otras herramientas en 2016pero Ability también tiene clientes en China, Singapur, Myanmar, la República Checa, Alemania y otros países. El sitio web de la empresa afirma que entre sus clientes se encuentran organismos de seguridad e inteligencia, fuerzas armadas, fuerzas del orden y organismos de seguridad nacional de más de 50 países.

Aunque su fortuna ha decaído recientemente -el año pasado llegó a un acuerdo con los inversores por una información financiera engañosa-, Ability sigue desarrollando activamente nuevos exploits, según Forbes.

Verint, que tiene oficinas en Melville (Nueva York) y Herzliya (Israel), estuvo a punto de comprar NSO Group por 1.000 millones de dólares en 2018 antes de que las conversaciones fracasaran. La empresa es más conocida por sus cámaras y sistemas de seguridad que permiten a las empresas vigilar los lugares de trabajo, pero también vende sofisticadas herramientas de vigilancia para las comunicaciones masivas, incluido el software de seguimiento de teléfonos inteligentes para clientes gubernamentales y empresariales. La tecnología SkyLock de Verint, por ejemplo, puede rastrear la ubicación de los usuarios de smartphones hackeando el protocolo SS7, según un folleto confidencial obtenido por 60 Minutes en 2016.

Al igual que una serie de conocidas empresas de software espía, Verint ha vendido sistemas de rastreo de teléfonos inteligentes a gobiernos con historiales de derechos humanos muy cuestionables, como los Emiratos Árabes Unidos (EAU), Sudán del Sur y México. Un ex empleado anónimo de Verint dijo Haaretz el año pasado que la tecnología de vigilancia telefónica de Verint se utilizó para vigilar a gays y transexuales en Azerbaiyán.

Los fabricantes de programas espía se unen

Para competir con rivales como NSO Group y Verint Systems, varias empresas de vigilancia han formado recientemente un consorcio. Denominada Intellexa, esta alianza pretende convertirse en "una ventanilla única para todas las necesidades de adquisición de inteligencia de campo de nuestros clientes", siendo la necesidad, por supuesto, la supervisión de dispositivos inteligentes y otros aparatos electrónicos.

La Alianza Intellexa está formada por las empresas de ciberinteligencia Nexa Technologies (antes Amesys), WiSpear y Cytrox. Nexa's "Intervención legal" de Nexa permite el espionaje de voz y datos en redes 2G, 3G y 4G. La empresa, con sede en París y oficinas en Dubai y la República Checa, también ofrece un producto de escucha de Internet que permite a los usuarios realizar sondeos IP para analizar redes de alta velocidad de datos o utilizar sensores Wi-Fi desarrollados para detectar un objetivo a varios kilómetros de distancia, según su sitio web.

Nexa no respondió a las solicitudes de comentarios por correo electrónico sobre las capacidades de su sistema. Sin embargo, John Scott-Railton, investigador principal de Citizen Lab, afirma que los sensores Wi-Fi de la empresa son probablemente una tecnología de radiogoniometría combinada con ataques de espionaje Wi-Fi estándar.

WiSpear, socio de Intellexa, es una nueva entrada en el mercado de las ciberarmas ofensivas. WiSpear se fundó en Israel en 2017, pero tiene su sede en Chipre. La empresa vende una furgoneta especialmente equipada llamada SpearHeadque está equipado con 24 antenas que pueden obligar al teléfono u ordenador de un objetivo a conectarse a su interceptor basado en Wi-Fi a una distancia de hasta 1.640 pies. Después de realizar un ataque man-in-the-middle, SpearHead puede descargar cuatro tipos diferentes de malware en iOS y Android.

El fundador de WiSpear, Tal Dilian, veterano de las Fuerzas de Defensa de Israel, es también el fundador de Circles, una empresa de armas cibernéticas con sede en Chipre y Bulgaria que se fusionó con NSO Group cuando ambas empresas eran propiedad de Francisco Partners. El otro socio público de Intellexa, Cytrox, es una empresa europea que desarrolla exploits que pueden dirigirse y penetrar en los dispositivos inteligentes de un usuario. La empresa, que según su Página web actualmente en modo furtivo, fue adquirida por WiSpear en 2018. Dilian dijo a la publicación que, además de las tres empresas, hay otros cinco socios no públicos en Intellexa.

"Los equipos de reconocimiento sobre el terreno deben estar preparados para afrontar cualquier reto", dijo Dilian en el Comunicado de prensa de Intellexa Comunicado de prensa del 16 de febrero en el que se anuncia la alianza. "Deben ser capaces de llegar a zonas de difícil acceso e interceptar con éxito cualquier dispositivo. Para que tengan éxito, necesitan una plataforma versátil -portátil, montada en un vehículo o aerotransportada- con una amplia gama de capacidades, dependiendo del escenario operativo. Intellexa se fundó para ofrecer precisamente eso. No fue posible contactar con Intellexa para que comentara sus capacidades de espionaje "aéreo", pero Scott-Railton afirma que los drones y otras aeronaves equipadas con tecnología de interceptación serían beneficiosos para las empresas. "[Los drones y las aeronaves] son en realidad la mejor manera de hacerlo porque se puede pasar por la línea de visión", dice. "Los sistemas terrestres tienen un alcance mucho menor".

 

"Sistema de troyanos para dispositivos móviles"

Otra empresa de software espía menos conocida es Rayzone, una compañía israelí que ofrece servicios como el seguimiento de la ubicación y el análisis de Big Data, así como un "sistema de troyanos para dispositivos móviles" que vende a gobiernos y agencias federales. El sitio web de Rayzone dice. El malware mencionadoque permite a los clientes recopilar información del teléfono inteligente, como archivos, fotos, navegación web, correos electrónicos, ubicación, conversaciones de Skype y otros datos. La empresa también presume de que su malware puede espiar los SMS y otros servicios de mensajería instantánea, incluido WhatsApp.

Muchas de las empresas de software espía mencionadas anteriormente obtienen su dinero de contratos en el extranjero, a menudo bajo los auspicios de los controles de exportación de sus gobiernos, pero hay varias empresas con agendas más domésticas. Los Emiratos Árabes Unidos, por ejemplo, son la sede de DarkMatter, una empresa de ciberseguridad que alberga el Proyecto Raven, un equipo de agentes encubiertos, algunos de los cuales han trabajado anteriormente para agencias de inteligencia estadounidenses como la Agencia de Seguridad Nacional (NSA). Reuters informó en enero que los empleados de Raven utilizaron en los últimos años una plataforma de ciberespionaje llamada Karma que puede hackear los iPhones de activistas y líderes políticos, así como de sospechosos de terrorismo.

Una de las fuentes de Reuters, Lori Stroud, ex contratista de la NSA, Booz Allen Hamilton, se enteró en una sesión informativa de que Raven es el brazo ofensivo y operativo de la NESA (Autoridad Nacional de Seguridad Electrónica, ahora llamada Agencia de Inteligencia de Señales) de los EAU, el equivalente de la NSA. Aunque Raven utilizó Karma para espiar a rivales regionales como Qatar e Irán, el malware también se utilizó, al parecer, para atacar a ciudadanos de los EAU que criticaban abiertamente a la monarquía. En un giro interesante, fuentes anónimas dijeron a dijo dijo al Intercept que el personal de Dark Matter había hablado de hackear al personal de la publicación después de que la reportera Jenna McLaughlin revelara en un artículo del Intercept cómo la empresa de seguridad informática CyberPoint, con sede en Maryland, había ayudado a reunir un equipo de espías estadounidenses y herramientas de hackeo para el Proyecto Raven.

Al otro lado del Mediterráneo, la empresa italiana eSurv distribuye una plataforma de software espía para Android apodada "Exodus". En marzo, los investigadores de la organización de vigilancia Seguridad Sin Fronteras dijeron que habían encontrado 25 aplicaciones maliciosas subidas por eSurv a la Google Play Store entre 2016 y principios de 2019, donde se disfrazaban de aplicaciones de operadores móviles. "Según las estadísticas disponibles públicamente, así como la confirmación de Google, la mayoría de estas aplicaciones cosecharon unas cuantas docenas de instalaciones cada una, y un caso llegó a superar las 350", informó Seguridad Sin Fronteras.

La investigación de Seguridad Sin Fronteras descubrió que Exodus está equipado con "amplias capacidades de detección e interceptación" y que algunas modificaciones provocadas por el programa espía "podrían exponer los dispositivos infectados a un mayor compromiso o manipulación de datos." Autoridades italianas dirigido lanzó una investigación sobre eSurv y una empresa relacionada, STM, en las semanas previas al informe de Seguridad Sin Fronteras. Como parte de la investigación, los fiscales dijeron que cerraron la infraestructura de eSurv.

Crecimiento de una industria controvertida

En marzo informó el New York Times estimó que el mercado de los "programas espía de interceptación legal" tiene un valor estimado de 12.000 millones de dólares. Por el contrario, Technavio, una empresa de investigación con sede en Londres, sitúa estimaciones sitúa el mercado de la interceptación legal en 1.300 millones de dólares, y señala que uno de los principales motores del mercado es el "creciente número de iniciativas gubernamentales ... aumentar el uso de la interceptación legal para el control y la vigilancia regulares de actividades delictivas, terroristas y otras actividades ilegales a través de las redes de comunicaciones". Con el aumento de las herramientas de espionaje y las iniciativas de interceptación del gobierno, es muy probable que aumenten las posibilidades de abuso, afirma Scott-Railton.

"Dicho esto, aunque los nuevos participantes persiguen a los inversores, está bastante claro que muchos de ellos se sienten incómodos por los riesgos que asumen estas empresas", afirma.

Novalina Capital, la empresa de capital riesgo que recientemente compró NSO Group a Francisco Partners, ha presionado mucho en los últimos meses por el historial de derechos humanos de Pegasus. Con NSO Group enfrentándose a varias demandas de supuestas víctimas en Canadá y México, Novalpina ha intentado calmar los nervios de los inversores con una campaña de relaciones públicas en la que se compromete con grupos de derechos humanos y promete una supervisión interna más estricta. La OSN "ya es relativamente permisiva en cuanto al uso de su tecnología para lo que los europeos considerarían abusos de los derechos humanos", dice Nohl.

Mientras tanto, el terreno legal que rodea a las llamadas herramientas de interceptación legal sigue siendo opaco y en gran medida no está regulado. Como escribió recientemente un grupo de abogados y estudiantes de derecho en Just Security, "hasta la fecha, ni los marcos jurídicos nacionales que regulan la venta y el uso de programas espía ni la autorregulación de la industria han sido eficaces para evitar los abusos.

David Kaye, Relator Especial de Estados Unidos para la Libertad de Expresión, pidió recientemente una moratoria en la venta de software de vigilancia. "Se ha demostrado que la vigilancia de determinadas personas -a menudo periodistas, activistas, figuras de la oposición, críticos y otras personas que ejercen su derecho a la libertad de expresión- conduce a la detención arbitraria, a veces a la tortura, y posiblemente a ejecuciones extrajudiciales." escribió en un informe al Consejo de Derechos Humanos de la ONU. "Los Estados deben imponer una moratoria inmediata a la exportación, venta, transferencia, uso o servicio de herramientas de vigilancia desarrolladas por el sector privado hasta que se establezca un sistema de protección que cumpla con los derechos humanos."

Nohl señala que una actividad perfectamente legal en un país puede ser delictiva en otro, especialmente en términos de espionaje y aplicación de la ley. Dice que muchos países se sentirán perfectamente justificados para utilizar las tecnologías de espionaje móvil como herramientas de opresión política porque sus leyes les otorgan ese poder.

Y las empresas seguirán vendiéndoles armas. Aunque NSO y otros proveedores israelíes dominan actualmente el mercado, puede que no sea siempre así. "NSO Group es tan fenomenalmente rentable que alguien más tiene que entrar en ese mercado", dice Nohl. "Y el próximo competidor podría ser un vendedor ruso, chino o incluso norcoreano que podría tener aún menos problemas con una base de clientes aún mayor".

 

SOFTWARE DE ESPIONAJE DEL GOBIERNO

EXODO

En 2019, identificamos más de 20 aplicaciones de software espía gubernamental que se hacían pasar por inofensivas aplicaciones vainilla en Google Play Store. Estas aplicaciones -que no eran más que un señuelo a través del cual se instalaba el programa espía gubernamental Exodus en los teléfonos de los objetivos- eran cualquier cosa menos inofensivas. En un proceso de dos pasos, crearon listas de aplicaciones instaladas, historial de navegación, listas de contactos de numerosas aplicaciones, mensajes de texto -incluidos los textos cifrados-, datos de localización y contraseñas de aplicaciones y Wi-Fi. El malware también podía activar cámaras y micrófonos para grabar tanto audio como vídeo, y tomar capturas de pantalla de las aplicaciones mientras se utilizaban. Este programa espía procedía de una empresa de vigilancia italiana llamada eSurv, y aunque era bueno para hackear los teléfonos de otras personas, era malo para asegurar sus propios datos. El programa espía abría un intérprete de comandos remoto en los teléfonos infectados, pero no utilizaba ningún tipo de cifrado o autenticación, por lo que cualquiera que estuviera en la misma red Wi-Fi que el dispositivo infectado podía entrar y hackearlo.

Pero fue esa seguridad descuidada la que llevó a las autoridades a un descubrimiento sorprendente: Como Bloomberg informó a principios de este mes, los empleados de eSurv supuestamente espiaron a ciudadanos italianos inocentes sin saberlo, utilizando la potente tecnología de vigilancia.

Supuestamente, lo hicieron con estilo: según documentos judiciales vistos por Bloomberg, los empleados de eSurv reprodujeron en secreto conversaciones telefónicas grabadas en voz alta en la oficina. Y mientras la empresa vendía su software de espionaje a las fuerzas del orden, también llegó supuestamente a un acuerdo con una empresa -la 'Ndrangheta- que tiene vínculos con la mafia.

Exponer las aplicaciones de espionaje

El hombre detrás de Exodus es el desarrollador italiano Diego Fasano. Después de desarrollar con éxito una app que permite a los médicos ver los historiales médicos, un amigo le aconsejó que se metiera en el negocio de la vigilancia, donde los investigadores están desesperados por ayudar a los Penetrar en las comunicaciones encriptadas de aplicaciones de mensajería como WhatsApp y Signal. En 2014, fundó eSurv, que vende tecnología de vigilancia a la policía y las agencias de inteligencia.

Así es como funcionó: con la ayuda de las compañías de telecomunicaciones italianas, la empresa atrajo a la gente para que se descargara una aplicación aparentemente inofensiva que supuestamente arreglaría los errores de red en su teléfono. Fasano dijo que la policía, en cooperación con las redes de telefonía móvil, cerraría el servicio de datos del objetivo.

A continuación, enviaron instrucciones para descargar una aplicación a través de wifi para restablecer el servicio. La aplicación se hacía pasar por conectada a proveedores de telecomunicaciones, con nombres como "Operator Italia".

El verdadero propósito: dar a las fuerzas del orden acceso al micrófono, la cámara, los archivos almacenados y los mensajes cifrados de un dispositivo. Fasano vendió Exodus a fiscales de todo el país, incluida la agencia de inteligencia extranjera del país, L'Agenzia Informazioni e Sicurezza Esterna.

Sin embargo, un fallo de seguridad provocó la caída de Exodus. Según las autoridades, una fiscalía de la ciudad de Benevento utilizó Exodus en 2018 para hackear los teléfonos de los sospechosos en una investigación. En octubre, un técnico se dio cuenta de que la conexión a la red se caía continuamente.

Tras algunas investigaciones, el técnico descubrió que Exodus no operaba desde un servidor interno seguro al que sólo tenía acceso la Fiscalía de Benevento, como se suponía. Más bien, se conectaba a un servidor al que podía acceder cualquier persona en Internet y que sólo estaba protegido por un nombre de usuario y una contraseña.

Esto significaba que los datos recogidos de forma encubierta de los teléfonos de los sospechosos por los fiscales italianos en el marco de algunas de las investigaciones más delicadas del país -de casos de mafia, terrorismo y corrupción- podían ser interceptados por hackers. Esto incluía miles de fotos, grabaciones de conversaciones, mensajes privados y correos electrónicos, vídeos y otros archivos recogidos de los teléfonos y ordenadores pirateados: un total de unos 80 terabytes de datos, o unas 40.000 horas de vídeo en alta definición, almacenados sin cifrar. Resultó ser un servidor de Amazon Web Services en Oregón.

Las autoridades no saben si este servidor ha sido hackeado alguna vez.

La Fiscalía General presentó cargos penales contra eSurv por recopilar y almacenar ilegalmente comunicaciones privadas, reenviarlas al extranjero y no almacenar de forma segura "datos personales sensibles de carácter judicial".

La fiscalía de Nápoles espera que la investigación concluya a finales de este año. Mientras tanto, Fasano y otro ejecutivo de eSurv, Salvatore Ansani, fueron acusados de fraude, acceso no autorizado a un sistema informático, escuchas telefónicas no autorizadas y tratamiento de datos no autorizado. Después de estar bajo arresto domiciliario durante tres meses, fueron puestos en libertad y ahora están a la espera de la siguiente fase de su proceso judicial, que probablemente desembocará en un juicio.

Una investigación posterior reveló que algunos de los 20 empleados de eSurv -dedicados a trabajar en Exodus y que se autodenominaban "El Equipo Negro" bajo la dirección de Ansani- utilizaron el software de espionaje para atacar a ciudadanos italianos respetuosos de la ley que nunca fueron nombrados como sospechosos en la investigación. Sin embargo, los teléfonos de esos ciudadanos fueron intervenidos y sus conversaciones privadas grabadas, por razones que, según las autoridades, aún se desconocen.

Según los documentos de la policía, el Equipo Negro espió a más de 230 personas que no podían ser vigiladas por la policía. En los archivos internos de eSurv se hace referencia a algunas de estas personas como "los voluntarios", es decir, que pueden haber sido conejillos de indias involuntarios.

Los investigadores todavía están examinando la enorme cantidad de datos que incautaron a eSurv mientras intentan averiguar el propósito de la recopilación ilegal de datos. ¿Fue por chantaje? ¿Para divertirse? ¿Para espiar? ¿Para la vigilancia ilegal en nombre de la mafia?

En ese momento, un fiscal -Eugenio Facciolla, que está en el centro de un escándalo de corrupción- fue acusado de falsificar documentos para obstruir o engañar una investigación policial sobre una operación de tala ilegal dirigida por la 'Ndrangheta que taló miles de árboles en algunos parques nacionales italianos.

En noviembre, el organismo que se encarga de los nombramientos de fiscales dijo que destituía a Facciolla de su cargo en Castrovillari por "abuso de funciones". Facciolla ha recurrido la decisión. Sí, dice, ha suministrado Exodus a otras empresas, pero, dice su abogado, Vincenzo Ioppoli, el programa espía es "como un arma". Una vez que lo vendes, no sabes cómo se va a utilizar.

Los ejecutivos de "eSurv" fueron detenidos en Italia a raíz del caso del programa espía Exodus.

Nuestra respuesta a Exodus: una solución sencilla pero potente

Debido a la arquitectura del firmware, la ejecución remota de código está bloqueada por defecto. De este modo, no se pueden instalar otras aplicaciones (excepto las preinstaladas) en el teléfono, ni siquiera por el usuario. Además, incluso bloqueamos cualquier actualización de aplicaciones, ya que descubrimos que las aplicaciones espía pueden ser empujadas a través de la actualización de aplicaciones maliciosas.

 

SOFTWARE DE ESPIONAJE DEL GOBIERNO

FinSpy

FinSpy es una solución de supervisión remota de eficacia probada que permite a los gobiernos afrontar los retos actuales de supervisión de objetivos móviles y de seguridad que cambian regularmente de ubicación, utilizan canales de comunicación cifrados y anónimos y residen en el extranjero. FinSpy proporciona acceso a información como contactos, mensajes SMS/MMS, calendarios, localización GPS, imágenes, archivos en memoria y grabaciones de llamadas telefónicas. Todos los datos exfiltrados se transmiten al atacante a través de mensajes SMS o por Internet. Los datos personales, incluidos los contactos, los mensajes, los audios y los vídeos, pueden ser exfiltrados de los mensajeros más populares.

Según la información del sitio web oficial, FinFisher ofrece FinFisher entre otras herramientas y servicios, una "solución estratégica y de amplio alcance para las escuchas y la vigilancia". Este software (también conocido como FinSpy) se utiliza para recopilar una variedad de información privada de los usuarios en diferentes plataformas.

Sus implantes para dispositivos de escritorio fueron descritos por primera vez en 2011 por Wikileaks y los implantes móviles fueron descubiertos en 2012. Desde entonces, XCell Technologies ha vigilado continuamente la evolución de este malware y la aparición de nuevas versiones en la naturaleza. Según nuestra telemetría, varias docenas de dispositivos móviles individuales han sido infectados en el último año, con la actividad más reciente registrada en Myanmar en junio de 2019. A finales de 2018, los expertos de XCell Technologies examinaron las versiones funcionalmente más recientes de los implantes FinSpy para iOS y Android, creados a mediados de 2018. Los implantes móviles para iOS y Android tienen casi la misma funcionalidad. Son capaces de recopilar información personal como contactos, mensajes SMS/MMS, correos electrónicos, calendario, localización GPS, fotos, archivos en la memoria, registros de llamadas telefónicas y datos de los mensajeros más populares.

Características de los programas espía

El implante de Android es capaz de obtener privilegios de root en un dispositivo no rooteado abusando del exploit DirtyCow incluido en el spyware. Las muestras de FinSpy para Android existen desde hace varios años. A partir de los datos del certificado de la última versión encontrada, la muestra se puso a disposición en junio de 2019.

Es poco probable que la funcionalidad del implante de Android cambie significativamente, ya que la mayoría de los parámetros de configuración son los mismos en las versiones antiguas y nuevas. La variedad de ajustes disponibles permite personalizar el comportamiento del implante para cada víctima. Por ejemplo, los operadores pueden seleccionar los canales de comunicación preferidos o desactivar automáticamente las transmisiones de datos mientras la víctima está en modo itinerante. Todos los datos de configuración de un dispositivo Android infectado (incluida la ubicación del servidor de control) se incrustan en el implante y se utilizan posteriormente, pero algunos de los parámetros pueden ser modificados a distancia por el operador. Los datos de configuración se almacenan en un formato comprimido, dividido en una serie de archivos en el directorio "assets" del apk del implante. Una vez extraídos todos los datos y creado el archivo de configuración, se pueden recuperar todos los valores de configuración. Cada valor del archivo de configuración se almacena según el valor little-endian de su tamaño, y el tipo de configuración se almacena como un hash.

Por ejemplo, se pueden marcar los siguientes ajustes interesantes que se encuentran en el archivo de configuración de la compilación para desarrolladores del implante: ID del objetivo móvil, dirección IP del proxy, puerto del proxy, número de teléfono para el control remoto por SMS, identificador único del implante instalado.

Como en el caso del implante de iOS, la versión de Android puede instalarse manualmente si el atacante tiene acceso físico al dispositivo, así como a través de vectores de infección remotos: mensajes SMS, correos electrónicos y WAP push. Después de la instalación exitosa, el implante intenta obtener privilegios de root mediante la comprobación de la presencia y la ejecución de los conocidos módulos de root SuperSU y Magisk. Si no hay utilidades presentes, el implante descifra y ejecuta el exploit DirtyCow que reside dentro del malware. Si tiene éxito en la obtención de acceso a la raíz, el implante registra una política SELinux personalizada para obtener acceso completo al dispositivo y retener el acceso a la raíz. Si ha estado utilizando SuperSU, el implante cambia la configuración de SuperSU para silenciarlo, desactiva su fecha de caducidad y lo configura para que se inicie automáticamente en el momento del arranque. También borra todos los registros posibles, incluidos los de SuperSU. El implante permite acceder a información como los contactos, los mensajes SMS/MMS, el calendario, la ubicación GPS, las imágenes, los archivos de la memoria y las grabaciones de las llamadas telefónicas. Todos los datos exfiltrados se transmiten al atacante a través de mensajes SMS o por Internet (la ubicación del servidor C2 se almacena en el archivo de configuración). Los datos personales, incluidos los contactos, los mensajes, los audios y los vídeos, pueden ser exfiltrados de los mensajeros más populares. Cada uno de los mensajeros a los que se dirige tiene su propio módulo de manejo unificado, lo que facilita la adición de nuevos manejadores según sea necesario.

La lista completa de mensajeros compatibles se encuentra a continuación:

 

  • com.bbm ..........BBM(BlackBerry Messenger)

  • com.facebook.orca .......... Facebook Messenger

  • com.futurebits.instamesssage.free ..........InstaMessage

  • jp.naver.line.android ..........Line Messenger

  • org.thoughtcrime.securesms ..........Signal

  • com.skype.raider ..........Skype

  • org.telegram.messenger ..........Telegram

  • ch.threema.app ..........Threema

  • com.viber.voip ..........Viber

  • com.whatsapp ..........WhatsApp

En primer lugar, el implante comprueba si el mensajero objetivo está instalado en el dispositivo (utilizando un nombre de paquete codificado) y si se concede acceso de root. Luego, la base de datos del mensajero se prepara para la exfiltración de datos. Si es necesario, se puede descifrar utilizando la clave privada almacenada en su directorio privado, y se puede recuperar fácilmente toda la información necesaria:

También se exfiltran todos los archivos multimedia y la información sobre el usuario.

Infraestructura

Los implantes FinSpy son controlados por el agente FinSpy (terminal del operador). Por defecto, todos los implantes están conectados a proxies de anonimización FinSpy (también conocidos como relés FinSpy) proporcionados por el proveedor de software espía. Esto se hace para ocultar la ubicación real del FinSpy master. Una vez que el sistema objetivo infectado aparece en línea, envía un latido al proxy FinSpy. El proxy FinSpy reenvía las conexiones entre los sistemas de destino y un servidor maestro. El servidor maestro de FinSpy gestiona todos los objetivos y agentes y almacena los datos. Utilizando los archivos de configuración descifrados, nuestros expertos pudieron determinar los distintos relés utilizados por las víctimas y su ubicación geográfica. La mayoría de los relés que encontramos se concentran en Europa, algunos en el sudeste asiático y en Estados Unidos.

Conclusión:

Los implantes móviles FinSpy son herramientas avanzadas de espionaje malicioso con múltiples funciones. Las diversas opciones de configuración que ofrece el proveedor de software espía en su producto permiten a los operadores del terminal FinSpy (FinSpy Agent) adaptar el comportamiento de cada implante a una víctima específica y llevar a cabo una vigilancia eficaz, exfiltrando datos sensibles como la ubicación GPS, contactos, llamadas y otros datos de diversos mensajeros instantáneos y del propio dispositivo.

El implante de Android tiene funciones para obtener privilegios de root en un dispositivo no rooteado abusando de vulnerabilidades conocidas. En cuanto a la versión de iOS, parece que esta solución de software espía no proporciona exploits de infección para sus clientes, ya que su producto parece estar ajustado para eliminar los rastros de las herramientas de jailbreaking disponibles públicamente. Esto podría significar el acceso físico a la víctima en los casos en que los dispositivos no estén ya liberados. Al mismo tiempo, se implementan varias características que aún no hemos observado en el malware diseñado para esta plataforma.

Desde la filtración de 2014, los desarrolladores de FinSpy han reconstruido partes clave de sus implantes, ampliando las funciones compatibles (por ejemplo, la lista de mensajeros instantáneos compatibles se ha ampliado significativamente) al tiempo que han mejorado el cifrado y la ofuscación (dificultando el análisis y la detección de los implantes), lo que le ha permitido mantener su posición en el mercado.

En total, el estudio descubrió versiones actuales de estos implantes utilizados en la naturaleza en casi 20 países, aunque el número total podría ser mayor.

Los desarrolladores de FinSpy están trabajando constantemente en actualizaciones para su malware. En el momento de la publicación, los investigadores de XCell Technologies han encontrado otra versión de la amenaza y actualmente están investigando este caso.

Nuestra solución

FinSpy evita 40 aplicaciones antivirus probadas regularmente. Por lo tanto, no tiene sentido instalar un antivirus. XCell Technologies ha optado por otra solución eficaz para evitar la instalación de malware y software malicioso. Hay un algoritmo de detección FinSpy instalado en lo más profundo del firmware de la XROM que no sólo detecta cualquier intento de intrusión, sino que también bloquea cualquier ejecución de código. Los puertos HTTP locales utilizados por FinSpy han sido bloqueados: :8999 y :8899.

Por lo tanto, los usuarios de XStealth no deben tener miedo del software de vigilancia de grado gubernamental. XStealth Pro será aún más seguro, dando a los usuarios acceso al panel de control FinSpy Annihilator.

 

SOFTWARE DE ESPIONAJE DEL GOBIERNO

Pegasus

Pegasus es un programa espía que puede instalarse en los dispositivos que ejecutan ciertas versiones de iOS, el sistema operativo móvil de Apple, que fue desarrollado por la empresa israelí Cyberarms Grupo NSO desarrollado. El sistema operativo Android es menos vulnerable que iOS cuando se trata de Pegasus (también conocido como Chrysaor para Android).

Si se hace clic en un enlace malicioso, Pegasus activa en secreto un jailbreak en los dispositivos iOS y puede leer mensajes de texto, rastrear llamadas, recopilar contraseñas, rastrear la ubicación del teléfono y recopilar información de las aplicaciones, incluyendo (pero no limitado a) iMessage, Gmail, Viber, Facebook, WhatsApp, Telegram y Skype. Por lo tanto, Pegasus no puede instalarse solo (como FinSpy Mobile): se requiere la interacción del usuario.

Pegasus para Android (Chrysaor) no se basa en vulnerabilidades de día cero. En su lugar, utiliza un conocido método de enraizamiento llamado Framaroot. En XROM (nuestro firmware propietario), bloqueamos el ejecutable y los puertos de Framaroot. Esto fue más fácil que bloquear FinSpy Mobile. Por lo tanto, no se preocupe: Pegasus no es una amenaza para nuestros teléfonos Android Ultra Secure Stealth, ni para otros teléfonos XCell Stealth. Los otros que funcionan con firmware 100% propietario también son 100% inmunes: no se pueden instalar archivos apk en los teléfonos con funciones.

Manual de usuario de Pegasus

 

SOFTWARE DE ESPIONAJE DEL GOBIERNO

¿Qué es realmente ULIN?

Diríamos que ULIN (Ultimate Interception) no es más que una campaña de marketing bien ejecutada basada en un método de interceptación muy antiguo: el SS7. Nada nuevo, nada fuera de lo común comparado con otras soluciones de interceptación SS7 que ya están en el mercado, como la más antigua pero potente SkyTrack. Verint, otra empresa israelí, también lanzó en 2013 SkyJack y SkyLock, su solución SS7 para la escucha telefónica y el seguimiento de la ubicación. En aquel momento, no se conocía el exploit SS7 que ahora utiliza ULIN, por lo que Verint tuvo que instalar una denominada caja SS7 en el núcleo de la red móvil, conectada a los servidores internos del operador que ejecutaban los servicios HLR-VLR. Y Verint lo hizo con la ayuda de las agencias de seguridad y de seguridad nacional de todo el mundo que estaban interesadas en manejar dichos sistemas. Y lo hicieron bien.

La novedad que aporta ULIN es un nuevo exploit SS7 que permite realizar explotaciones remotas sin necesidad de tener una caja SS7 instalada en el núcleo de la red móvil.

El precio también es extraordinario, lo que justifica la monetización del nuevo exploit SS7: El sistema ULIN está disponible actualmente por 20 millones de dólares y puede identificar las llamadas, los mensajes de texto y la ubicación de prácticamente cualquier teléfono móvil del mundo.

Como ya hemos mencionado, Ability no es la única empresa que se dirige al SS7 de forma tan agresiva. De hecho, Ability no ha desarrollado el producto ULIN ni es propietaria de la tecnología, sino que la licencia de un tercero no identificado. La empresa invierte en investigación y desarrollo del sistema y es la única que despliega la herramienta en su propia infraestructura, pero ha recurrido a otra empresa para el sistema central. Esa otra empresa se describe en los archivos de la SEC únicamente como "una empresa de reciente creación con un corto historial de operaciones y que aún es desconocida en el sector".

Y el año pasado fue Sincronización y correcciones por n17t01que Circles Bulgaria y otras dos empresas israelíes, Rayzone y CleverSig, estaban vendiendo paquetes de exploits SS7, aunque había pocos detalles sobre lo que ofrecían exactamente o por cuánto.

ULIN se presentó ya en 2015 como una solución de interceptación que permite a las agencias gubernamentales interceptar comunicaciones remotas en casi cualquier parte del mundo. ULIN permite interceptar legalmente las llamadas de voz, los mensajes SMS y la información relacionada con las llamadas de los teléfonos GSM / UMTS / LTE sin que el teléfono interceptado tenga que estar cerca y sin el consentimiento de los operadores de redes móviles, y sólo requiere el número de teléfono o IMSI del dispositivo móvil.

La ULIN es un producto joven que puede no estar aún ampliamente disponible. Según el documento de resultados de May, Ability sólo ha vendido hasta ahora un producto ULIN en el extremo inferior de la escala de precios, pero ha "recibido consultas de varios clientes actuales y potenciales". Este primer cliente, que no se dedica a la explotación transfronteriza sino que se centra en objetivos en su propio país, se está tratando como una prueba beta.

¿Cómo puede este sistema lograr hazañas tan extraordinarias?

En realidad, aprovecha un fallo del Sistema de Señalización nº 7, o SS7, la norma internacional de telecomunicaciones que ilustra cómo se intercambia la información en las redes digitales de la red telefónica pública conmutada (RTPC) para los teléfonos móviles. Los "puntos de señalización" del SS7 y los nodos que utilizan la señalización fuera de banda para facilitar servicios como el encaminamiento de llamadas.

Un tercero aún desconocido es el responsable de conceder la licencia de esta vulnerabilidad a Ability y de facilitar el acceso o la información sobre el fallo SS7. Por lo tanto, la interceptación de cualquier teléfono móvil para las fuerzas del orden es fácilmente posible simplemente interviniendo el teléfono en cuestión.

Al igual que cualquier otro sistema de espionaje SS7, el sistema ULIN se basa en las vulnerabilidades del protocolo SS7, que se desarrolló en 1984 y se ha actualizado muy poco desde entonces; ¡la última actualización fue en 1993! La vulnerabilidad afecta a todo el mundo mientras utilice la red celular. Incluso si un usuario desactiva sus servicios de localización en su teléfono, los hackers pueden seguir viendo la red a través de los servicios de red. Los gobiernos de todo el mundo conocían la vulnerabilidad, pero debido a los beneficios que les reporta, decidieron no cerrarla. La población mundial corre el riesgo de que sus llamadas telefónicas sean interceptadas con una vulnerabilidad conocida sólo porque algunas agencias de inteligencia podrían obtener algunos datos. Más información sobre el ataque al SS7, aquí.

La mala noticia es que no hay un único lugar al que dirigirse cuando se trata de la seguridad del SS7, porque los operadores de red son responsables de su propia seguridad, aunque algunas redes son más seguras que otras, ninguna es indiferente a los ataques.

¿Cómo funciona el error SS7?

El pirata informático o las fuerzas del orden que utilicen un sistema de interceptación SS7 reenviarán todas las llamadas a un dispositivo de grabación en línea y luego devolverán la llamada al destinatario previsto, lo que se conoce como ataque man-in-the-middle. Además, los movimientos de un usuario de teléfono móvil pueden ser rastreados por otras herramientas de hacking. La ubicación de la víctima puede ser rastreada a través de Google Maps. El fallo del SS7 es en realidad un secreto a voces entre las agencias de inteligencia del mundo. La vulnerabilidad crucial reside en la propia red móvil.

Manual del usuario de ULIN

NUESTRA RESPUESTA AL ATAQUE DE ULIN Y SS7

cryptoTRACERⓇ

Desde 2016, hemos introducido cryptoTRACER® en la mayoría de nuestros teléfonos sigilosos, que activa Aletrs cuando sus llamadas telefónicas y mensajes son interceptados utilizando medios SS7. CryptoTRACER® es eficaz en la detección de interceptación ULIN porque el sistema utiliza la misma vulnerabilidad de seguridad SS7.

Además, los pings de seguimiento de la ubicación del sistema ULIN (portátil o estratégico) se envían a través de una red celular, lo que hace que aparezcan en los teléfonos XCell Stealth como un ping de seguimiento de la ubicación recibido que se almacena en un archivo de texto para su posterior análisis.

 

Para los teléfonos invisibles XCell Dynamic IMEI (v1, v2, v3.1, v4, XCrypt y XCell Pro), hay un tipo especial de advertencia cuando el sistema ULIN recoge datos relacionados con las llamadas (fecha, hora, números de teléfono implicados (para llamadas en conferencia) y datos de ubicación asociados en el momento de la llamada): El icono del candado verde en la pantalla de inicio superior parpadea en rojo/verde durante aproximadamente 20 segundos después de colgar la llamada; este es el tiempo que ULIN tarda en recoger los datos anteriores. Esta función avanzada es utilizada por ULIN para mapear toda la red de contactos del teléfono de destino y suele realizarse antes de iniciar el proceso de escucha de la llamada de voz.

 

Con XCell Basic v3, XStealth Lite y XStealth, la pantalla de la llamada permanece en alerta durante unos 20 segundos después de que finalice la llamada, como si ésta siguiera activa. Esto no es un error o un mal funcionamiento del teléfono, sino un resultado directo y una prueba de que el sistema ULIN extrae los datos relacionados con las llamadas de la red celular en lugar de su teléfono.

 

SOFTWARE DE ESPIONAJE DEL GOBIERNO

Hydra

Hydra es otra solución de monitorización y escucha de SS7 desarrollada por HSS Development. Aprovecha la misma vulnerabilidad del protocolo SS7 que SkyTrack, Sky Lock y ULIN.

Dado que tenemos cryptoTRACERⓇ instalado en la mayoría de nuestros teléfonos XCell Stealth, una intrusión de este tipo activará una alerta cada vez que se intercepte una llamada telefónica y un SMS, y cada vez que un ping de seguimiento de la ubicación llegue al teléfono.

Manual de usuario de Hydra

 

SOFTWARE DE ESPIONAJE DEL GOBIERNO

SkyLock de Verint

Aunque la empresa Ability afirma que ULIN es el primer sistema de interceptación y seguimiento global, Verint, otra empresa israelí, lanzó su sistema de interceptación SS7 ya en 2013.

En ese momento, no se conocía el exploit SS7, que ahora utiliza ULIN. Por lo tanto, Verint tuvo que instalar una denominada caja SS7 en la red básica móvil, conectada a los servidores internos del operador que ejecutaban los servicios HLR-VLR. Y Verint lo hizo con la ayuda de las agencias de seguridad y de seguridad nacional de todo el mundo que estaban interesadas en utilizar estos sistemas. Y lo hicieron bien.

Los problemas surgen en 2015 cuando algunos gobiernos descubren que el mismo sistema de vigilancia SkyLock puede ser utilizado contra ellos, por sus enemigos: otros gobiernos y/o países hostiles. Eso, porque Verint ha vendido SkyLock a cualquier gobierno interesado, sin restricciones. Sin embargo, Verint no revelará la ubicación de los abonados israelíes en Israel, ni la de los abonados estadounidenses en su país o en el extranjero. La misma situación se da hoy en día con ULIN y otros sistemas de interceptación telefónica basados en SS7.

En la oferta actual de Verint, SkyLock ya no existe, pero sigue siendo vendido y mantenido por otra antigua empresa de Verint llamada Cognyte lo vende y lo mantiene.

Al igual que otras conocidas empresas de espionaje, Verint ha vendido sistemas de rastreo de teléfonos inteligentes a gobiernos con historiales de derechos humanos muy cuestionables, como los Emiratos Árabes Unidos (EAU), Sudán del Sur y México. Un ex empleado anónimo de Verint dijo Haaretz el año pasado que la tecnología de vigilancia telefónica de Verint se utilizó para vigilar a gays y transexuales en Azerbaiyán.

Dado que tenemos cryptoTRACER® instalado en la mayoría de nuestros teléfonos XCell Stealth, una intrusión de este tipo activa las alertas cuando se interceptan una llamada telefónica y un SMS y cada vez que un ping de seguimiento de la ubicación llega al teléfono.

SkyLock

más manuales de usuario de GSM Interceptor

Cobham - Interceptación Táctica Legal

CC6000 de HSS Development

CC4300U - UAV IMSI Catcher

Gemini, de Harris Corporation

RayFish de Harris Corporation: interceptación de iDEN y GSM