Hackear un producto de Apple no es tarea fácil. Por eso en el imaginario de los usuarios permanece la idea de que si lo que quieres es un celular que puedas personalizar, tu mejor opción será un equipo Android; mientras que si quieres uno seguro, deberías en cambio tener un dispositivo con iOS. Sin embargo, Google, a través de Project Zero, alertó sobre la forma en que a inicios del 2021, un malware fue capaz de infectar equipos iPhone por medio de iMessage, sin necesidad de que el propietario del celular hiciera clic sobre el archivo malicioso.
La técnica de clic cero, que ha sido calificada como “una de las más sofisticadas nunca antes vista”, fue desarrollada por NSO Group. La compañía israelí es la misma que estuvo detrás de la creación de Pegasus: el software que, a partir de datos maliciosos, fue capaz de ingresar a los micrófonos, cámaras y datos privados de más de 50.000 dispositivos. Muchos de estos terminaron siendo espiados por diferentes gobiernos.
Así fue como NSO Group logró atacar al iPhone
De acuerdo a Cityzen Lab, el malware, conocido como ForcedEntry, fue capaz de infectar a los equipos de Apple a través de la aplicación iMessage. La táctica era enviar falsos GIF, los cuales, al reproducirse de forma automática (como lo hacen siempre los archivos de este tipo) se aprovecharon de una vulnerabilidad en el analizador de PDF CoreGraphics de iOS.
En el estudio en el que Apple decidió colaborar, se reveló que la empresa israelí logró infectar dispositivos Apple al haber descubierto que era posible enviar archivos GIF falsos e ingresar a los dispositivos y exponer cientos de miles de líneas de código sin que los usuarios se dieran cuenta y lo que es peor: sin necesidad de si quiera un clic.
Aunque Apple ya corrigió la vulnerabilidad con un parche que actualizó la decodificación de la extensión .gif”; el estudio sirvió, según Google, para demostrar que ForcedEntry, prueba la capacidad que tiene NSO Group para desarrollar programas espías a los que tienen acceso solo algunos estados; pues la explicación sostiene que el programa era “un arma contra la que no había defensa”, pues aparte de no usar un dispositivo, antes del conocimiento público sobre Pegasus, no había forma de evitar un ataque de cero clic.
Imágenes: Foto de Arun Thomas en Pexels
