Apple ha publicado un parche para una vulnerabilidad descubierta recientemente que, según los informes, ha sido explotada por clientes gubernamentales de la empresa israelí de seguridad cibernética NSO Group para instalar su software espía Pegasus en dispositivos Apple objetivo.
Incluida como CVE-2021-30860, la vulnerabilidad de ejecución de código arbitrario fue descubierta por The Citizen Lab, que ha estado investigando y haciendo campaña contra el uso de los productos de NSO por parte de varios gobiernos para espiar a activistas, periodistas y políticos.
El día cero, que The Citizen Lab ha denominado ForcedEntry, se descubrió durante el análisis del teléfono de un activista saudí que había sido infectado con Pegasus y se reveló por primera vez en agosto de 2021. Tras su investigación, el grupo afirmó que NSO había estado usando CVE-2021. -30860 desde febrero de 2021. ForcedEntry es una vulnerabilidad de desbordamiento de enteros que existe en la biblioteca de procesamiento de imágenes CoreGraphics de Apple y puede explotarse si el destino procesa un archivo PDF creado con fines malintencionados.
El Citizen Lab dijo que ForcedEntry afecta a todos los iPhones que ejecutan versiones de iOS anteriores a la 14.8, todas las computadoras Mac que ejecutan OSX antes de Big Sur 11.6 Security Update 2021-005 Catalina y los relojes Apple que se ejecutan antes de watchOS 7.6.2. En su divulgación, Apple también declaró que iPhone 6s y posterior, todos los modelos de iPad Pro, iPad Air 2 y posterior, iPad 5th generación y posteriores, iPad mini 4 y posteriores, e iPod touch 7th la generación está en riesgo.
“A pesar de prometer a sus clientes el máximo secreto y confidencialidad, el modelo de negocio de NSO Group contiene las semillas de su desenmascaramiento continuo”, escribieron los miembros del equipo de investigación de The Citizen Lab, Bill Marczak, John Scott-Railton, Bahir Abdul Razzak, Noura Al-Jizawi, Siena. Anstis, Kristin Berdan y Ron Deibert, en un blog de divulgación.
“Vender tecnología a gobiernos que utilizarán la tecnología de forma imprudente en violación de las leyes internacionales de derechos humanos facilita en última instancia el descubrimiento del software espía por parte de organizaciones de vigilancia investigadora, como nosotros y otros hemos demostrado en múltiples ocasiones anteriores, y como fue el caso nuevamente aquí.
“Nuestro último descubrimiento de otro día cero de Apple empleado como parte del arsenal de NSO Group ilustra aún más que empresas como NSO Group están facilitando el ‘despotismo como servicio’ para las agencias de seguridad gubernamentales que no rinden cuentas. Se necesita desesperadamente la regulación de este mercado en crecimiento, altamente rentable y dañino ”, agregaron.
El jefe de ingeniería y arquitectura de seguridad de Apple, Ivan Krstíc, elogió al equipo de investigación por su trabajo en la obtención de una muestra de ForcedEntry para que se pudiera desarrollar rápidamente un parche.
En una declaración al Reino Unido guardián El periódico, Krstíc dijo que los ataques como los desarrollados en NSO eran sofisticados, a menudo de corta duración y se usaban en circunstancias limitadas y específicas, y como tales tenían menos probabilidades de afectar a la mayoría de los usuarios de los productos Apple.
Nick Tausek, arquitectos de soluciones de seguridad en Swimlane, comentó: “Esta vulnerabilidad de día cero y clic cero es significativa porque no requiere interacción del usuario y afecta a todas las versiones de iOS, OSX y watchOS de Apple.
“Si bien la primera inclinación es centrar el impacto en los consumidores, el peligro mucho mayor reside en las empresas cuyos empleados utilizan sus dispositivos Apple personales para trabajar.
“Para evitar que vulnerabilidades como ésta comprometan a los empleados y los datos confidenciales de la organización, las empresas deben buscar centralizar y automatizar sus protocolos actuales de detección, respuesta e investigación de amenazas de seguridad en una sola plataforma.
“Al adoptar la automatización integral de la seguridad, los equipos de seguridad también pueden liberar tiempo para mantenerse al día con la evolución de las tácticas de amenazas y, en última instancia, mejorar la preparación para la seguridad”, agregó.
Hora de actuar
NSO continúa sosteniendo que vende Pegasus solo a un conjunto de organismos gubernamentales y agencias de aplicación de la ley cuidadosamente examinados, y que cualquier uso malicioso de sus productos da como resultado la terminación del acceso.
Afirma que Pegasus ha ayudado a interrumpir los ataques terroristas y las redes de tráfico sexual y de drogas, llevar a los abusadores de niños ante la justicia y ayudar a los servicios de emergencia a localizar sobrevivientes después de desastres naturales.
Sin embargo, a medida que continúa difundiéndose el conocimiento de cómo algunos gobiernos utilizan Pegasus, aumentan los pedidos de investigaciones sobre el negocio de NSO, y los legisladores estadounidenses se encuentran entre los que acusan a la empresa de un “desprecio arrogante” por las preocupaciones que rodean su uso. Los expertos en derechos humanos de las Naciones Unidas (ONU) también han pedido una moratoria global sobre el uso de tecnología de vigilancia.
Entre los que abogan por una acción global sobre la tecnología de vigilancia se encuentra el defensor de la privacidad y comentarista de seguridad de Comparitech, Paul Bischoff. En comentarios anteriores compartidos con Computer Weekly, Bischoff dijo: “NSO Group dice que solo vende su software a agencias gubernamentales legítimas, pero la evidencia muestra que las autoridades con antecedentes de corrupción y derechos humanos lo utilizan repetidamente para atacar a periodistas, disidentes y activistas”. abusos.
“Esas autoridades no tendrían las mismas capacidades de espionaje sin NSO Group. No existe un uso legítimo real para el malware de NSO Group. Deberíamos declarar inmediatamente una moratoria internacional sobre las ventas privadas de software espía “.