Explotación de clic cero

¿Qué es un exploit sin clic?

Un exploit de clic cero es un intento malicioso de encontrar vulnerabilidades en el dispositivo de una persona específica, infectarlo con malware, spyware, etc. Los exploits de clic cero están diseñados para permanecer en modo sigiloso mientras se toma el control del dispositivo. Como su nombre lo indica, un exploit sin clic es un tipo de ciberataque que infecta dispositivos sin la ayuda de la víctima.

Cómo funcionan los ataques sin clic

En lugar de utilizar la ingeniería social para manipular a las víctimas, los ataques sin clic aprovechan las vulnerabilidades del sistema operativo (SO) del dispositivo de la víctima. Los ataques sin clic se basan en las lagunas del sistema operativo del dispositivo y las aplicaciones de software que analizan datos, como iMessage y WhatsApp. Los dispositivos móviles y las aplicaciones de software tienen configuraciones de seguridad que admiten el análisis de datos para verificar y determinar si se puede confiar en la fuente. Los exploits de cero clic aprovechan estas configuraciones para infiltrarse en el dispositivo de la víctima.

Un ataque típico sin clic funciona así:

Un grupo de hackers descubre una vulnerabilidad en un dispositivo o una aplicación de mensajería instantánea, por ejemplo, WhatsApp
Escriben un código para un ataque sin clic y lo disfrazan en un GIF o vídeo
El atacante adquiere el programa de ataque sin clic
El atacante obtiene el número de teléfono, la dirección de correo electrónico o el ID de Apple de su objetivo.
Crean y envían un mensaje malicioso de cero clic al dispositivo del objetivo.
La vulnerabilidad en el dispositivo o aplicación de mensajería instantánea permite que el ataque sin clic acceda e infecte el dispositivo del objetivo.
El ataque sin clic se instala y obtiene control remoto del dispositivo
Luego, el atacante elimina el mensaje que infectó el dispositivo para evitar que la víctima rastree el ataque.
El ataque sin clic comienza a implementar el propósito para el que fue diseñado, tal vez recopilar datos de la víctima: mensajes de texto, llamadas, etc.

Exploits populares sin hacer clic

Analicemos algunos de los ataques sin clic más populares a lo largo de los años, incluido el relacionado con la muerte de un periodista en 2018.

Software espía Pegaso

Pegasus es un programa de ataque sin clic creado por una empresa israelí conocida como NSO Group. Pegasus es un programa poderoso que puede acceder a mensajes de texto, al micrófono y a la cámara del dispositivo, rastrear llamadas y ubicaciones de las víctimas, y recopilar datos de las aplicaciones en el dispositivo de la víctima.

El Citizen Lab y Amnistía Internacional trabajaron en muchos ataques de Pegasus, algunos de los cuales estaban relacionados con asesinatos, incluido elMuerte del periodista del Washington Post, Jamal Khashoggi.. De acuerdo aLaboratorio ciudadano, una agencia gubernamental de los Emiratos Árabes Unidos intentó instalar Pegasus en el teléfono Android propiedad de Hanan Elatr, la esposa de Jamal.Amnistía Internacional también señalóque el atacante utilizó el software espía Pegasus para enviar cinco mensajes de texto SMS a Hanan Elatr en noviembre de 2017 y un sexto en abril de 2018.

Dado que el exploit de clic cero de Pegasus puede acceder a mensajes de texto y rastrear la ubicación de la víctima, elCorreo de Washingtonsugiere que el software espía monitoreó la conversación entre Hanan y Jamal. Como resultado, la ubicación de Jamal podría haber quedado expuesta a los atacantes, lo que llevó a su asesinato el 2 de octubre de 2018.

Defectos de Apple

Desde que los ataques sin clic ganaron popularidad, Apple ha tenido que responder a algunos ataques sin clic que expusieron a los usuarios de iPhone a atacantes y comprometieron su seguridad.

En 2021,Laboratorio ciudadano descubiertoque el iPhone 12 Pro de un activista de derechos humanos de Bahréin había sido pirateado con la ayuda de un exploit sin clic. El atacante aprovechó una vulnerabilidad de día cero en la última versión de iOS (iOS 14.4 y iOS 14.6 posteriores) en ese momento.

El error en las versiones de iOS permitió al atacante utilizar Pegasus para violar la tecnología de protección de datos de Apple, BlastDoor, e infectar el iPhone del activista bahreiní. Apple confirmó que el atacante aprovechó una vulnerabilidad de día cero en iOS y macOS, precisamente en la biblioteca de renderizado de imágenes de los dispositivos Apple llamada CoreGraphics. Apple lanzó un parche de seguridad en el próximo iOS (iOS 15) en septiembre de 2021, solucionando la vulnerabilidad.

Otro evento de ataque sin clic digno de mención es elProyecto Cuervocaso que comenzó en 2016. Proyecto Raven es el nombre en clave de una unidad de piratería de los Emiratos Árabes Unidos compuesta por funcionarios de la policía emiratí y servicios de inteligencia estadounidenses retirados que trabajan como contratistas. Project Raven utilizó Karma, un programa de ataque sin clic, para explotar una falla en iMessage de Apple, apuntando a cientos de personas, incluido el actual gobernante de la monarquía de Qatar, el Emir Sheikh Tamim bin Hamm al-Thani.

WhatsApp presentó denuncia contra Grupo NSO y Q Cyberen 2019, alegando que propagaron malware a 1.400 teléfonos móviles a través de servidores de WhatsApp dirigidos a activistas, periodistas, etc. Al igual que en el caso del activista bahreiní, el atacante también aprovechó una vulnerabilidad de día cero en WhatsApp para infectar más de mil teléfonos móviles con software espía sin clic.Pegaso y Candirú. Aunque el caso judicial está en curso, desde entonces WhatsApp parchó la vulnerabilidad de día cero que provocó el ataque e informó a sus 1.400 usuarios.

Jeff Bezos también ha sido víctima de un ataque de clic ceroque infectó su iPhone a través de WhatsApp en 2018. SegúnPlaca baseTras informar del ataque, el Príncipe Heredero de Arabia Saudita, Mohammed bin Salman, envió a Bezos un archivo de vídeo el 1 de mayo de 2018. Era un vídeo promocional de telecomunicaciones en árabe, pero contenía un descargador cifrado que instaló software espía en el teléfono de Bezos recopilando su información durante meses.

¿Quién es el grupo NSO?

ElGrupo OSNes una empresa israelí de ciberinteligencia creada por tres hombres, Niv Karmi, Shalev Hulio y Omri Lavie. NSO Group creó el software espía más famoso del mundo, Pegasus, que ha sido utilizado por gobiernos de EE. UU., Djibouti, Polonia, India, etc. NSO Group comercializa Pegasus como una herramienta para atrapar terroristas y criminales peligrosos. Por ejemplo, México lo utilizó para capturar al jefe del cartel Joaquín Guzmán, el famoso El Chapo.

Sin embargo, Pegasus también ha sido utilizado por tiranos y organismos de inteligencia poco éticos para infringir la privacidad de ciudadanos honrados como periodistas y activistas por los derechos de las mujeres. México, Arabia Saudita y los Emiratos Árabes Unidos han estado vinculados a ataques de Pegasus que involucraron abusos contra los derechos humanos; sin embargo, la CIA y el FBI compraron cada uno un programa Pegasus en 2019.

¿Cómo sabes si has sido atacado?

Sin embargo, dado el alto costo y el código complejo, hay pocas posibilidades de que una persona promedio sea víctima de un ataque sin clic. Sin embargo, no podemos descartar la posibilidad.

Cómo ver si su teléfono ha sido atacado por un exploit sin clic:

Verifique los registros de su red telefónica para detectar dominios periféricos o direcciones IP.
Si encuentra algún dominio remoto o dirección IP en los registros de su teléfono, es probable que su dispositivo haya sido infectado con un programa de ataque sin clic, que incluso podría ser el software espía Pegasus.
En este punto, no hay mucho que puedas hacer excepto borrar el dispositivo y obtener uno nuevo.
También puede comunicarse con una empresa confiable de ciberseguridad equipada para realizar análisis profundos de su dispositivo para descubrir cómo lo infectó el ataque sin clic. Esto podría permitirle saber de quién debe tener cuidado, como en el caso de Jeff Bezos contra el Príncipe Heredero de Arabia Saudita.

Cómo protegerse de los ataques sin clic

A pesar del sigilo de los ataques sin clic, puedes mitigar los riesgos si alguna vez te conviertes en el objetivo de un exploit informático practicando estas férreas medidas de ciberseguridad.

Actualizar dispositivos
Haga una copia de seguridad de todos sus dispositivos con regularidad
Elimina todas las aplicaciones que no usas
Manténgase alejado de "hacer jailbreak" o "rootear" su teléfono
Descarga aplicaciones de tiendas oficiales
Utilice la autenticación multifactor
Habilite la protección con contraseña/reconocimiento facial/escáner de huellas dactilares en su dispositivo
No abras archivos adjuntos de correo electrónico
No haga clic en enlaces (URL) en correos electrónicos a menos que sepa quién envió la URL
Utilice un cortafuegos
Instalar un programa antivirus
Utilice dos teléfonos inteligentes: uno para el trabajo y otro para la vida personal

Actualizar dispositivos

Los fabricantes de dispositivos y los desarrolladores de aplicaciones legítimos auditan constantemente sus sistemas operativos (SO) y aplicaciones de software para encontrar lagunas que puedan exponer a los usuarios a riesgos de seguridad. Una vez que encuentran tales lagunas, desarrollan parches de seguridad y los incluyen en las próximas actualizaciones de software o sistema operativo. Por lo tanto,Actualice sus dispositivos y aplicaciones de software con regularidad, especialmente las aplicaciones que reciben datos y aplicaciones de mensajería como WhatsApp y Telegram.

Haga una copia de seguridad de todos sus dispositivos con regularidad

Aunque los ataques sin clic no son necesariamente conocidos por eliminar o corromper los datos del dispositivo objetivo, corre el riesgo de perder sus datos si su dispositivo se infecta. Recuerde, la solución definitiva para un ataque sin clic es borrar el dispositivo y obtener uno nuevo. Por lo tanto, hacer copias de seguridad de sus datos con regularidad facilitará su administración.

Elimina todas las aplicaciones que no usas

Es más probable que dejes de actualizar una aplicación que ya no usas. Como resultado, la aplicación tendrá una versión de software antigua que no contiene los últimos parches de seguridad y puede exponer su dispositivo a ataques sin clic.Revise periódicamente sus dispositivos en busca de aplicaciones que rara vez usa o que ha dejado de usar, y desinstálelas, especialmente las aplicaciones que reciben datos, como Telegram.

Manténgase alejado de "hacer jailbreak" o "rootear" su teléfono

Hacer jailbreak o rootear su teléfono puede interrumpir o eliminar las tecnologías de seguridad integradas que se supone que lo protegen contra códigos maliciosos. También permite que el teléfono instale aplicaciones de software verificadas y no verificadas de tiendas de aplicaciones de terceros no autorizadas, exponiéndolo a riesgos como ataques sin clic.Por lo tanto, evite hacer jailbreak o rootear su teléfono, y no compre un dispositivo que ya tenga jailbreak o root.

Descarga aplicaciones de tiendas oficiales

Las tiendas de aplicaciones en iOS, Android, Windows, Mac y Linux examinan las aplicaciones y sus desarrolladores antes de distribuir software. Lo hacen para garantizar que las aplicaciones que distribuyen a los usuarios sean legítimas y contengan pocos o ningún fallo que pueda causar riesgos de seguridad. No puede estar seguro del mismo nivel de compromiso por parte de las tiendas de aplicaciones de terceros,así que evite descargar aplicaciones de tiendas de aplicaciones no oficiales.

Utilice la autenticación multifactor

En el caso de un ataque sin clic, habilitar la autenticación multifactor en sus cuentas puede frustrar el intento del atacante de iniciar sesión en sus cuentas en línea. Dado que la autenticación multifactor le obliga a autorizar un intento de inicio de sesión en su cuenta de diferentes maneras, incluido el ingreso de una contraseña de un solo uso (OTP), es posible que el atacante no tenga dicho acceso. Por lo tanto, si bien un atacante podría haber pirateado su dispositivo, es posible que no pueda iniciar sesión en su plataforma bancaria o piratear sus cuentas en plataformas como LinkedIn.

Habilite la protección con contraseña/reconocimiento facial/escáner de huellas dactilares en su dispositivo

Habilite la protección con contraseña en sus dispositivos y, si su dispositivo admite la protección con contraseña numérica/alfanumérica clásica, el reconocimiento facial y el escáner de huellas dactilares, utilícelos todos. Evite usar la misma contraseña en varios dispositivos o usar la misma contraseña cuando reemplace dispositivos antiguos por nuevos. En cambio,cree una contraseña segura que no se pueda adivinar fácilmente para cada dispositivo; también puede usar una herramienta de generación de contraseñas para crear una contraseña segura.

No abras archivos adjuntos de correo electrónico

Nunca permita que la curiosidad se apodere de usted cuando reciba un correo electrónico con archivos adjuntos de un remitente desconocido o que no es de confianza. Cuando abra un correo electrónico, lea atentamente el asunto, el cuerpo y la dirección del remitente para confirmar que es alguien que conoce. Los ciberdelincuentes pueden crear una dirección de correo electrónico similar a la dirección de correo electrónico de alguien en quien usted confía, por lo queSolo abra los archivos adjuntos de correo electrónico después de confirmar que provienen de alguien en quien confía.

No haga clic en enlaces (URL) en correos electrónicos a menos que sepa quién envió la URL

Al igual que los archivos adjuntos de correo electrónico, los ciberdelincuentes han enviado innumerables enlaces maliciosos a través de correos electrónicos a personas desprevenidas que hicieron clic y fueron pirateadas. Tenga cuidado al hacer clic en enlaces (URL) desde la aplicación de correo electrónico, incluso si son de alguien en quien confía.En lugar de hacer clic en un enlace directamente desde el correo electrónico, escriba la URL manualmente o cópiela y péguela en su navegador.

Utilice un cortafuegos

Todos los sistemas operativos principales tienen firewalls integrados que crean una barrera de seguridad y protegen contra el tráfico malicioso que ingresa a su dispositivo. Además,puede instalar un firewall de traducción de direcciones de red (NAT) a nivel de red para ocultar las direcciones IP de los dispositivos en su red. Un firewall NAT le brinda una capa de protección adicional que puede bloquear la comunicación con dispositivos maliciosos en línea.

Instalar un programa antivirus

La instalación de un antivirus en su dispositivo le brinda la protección necesaria cuando interactúa con contenido malicioso. Entonces,Instale un software antivirus confiable de un proveedor legítimo y actualícelo periódicamente para disfrutar de una protección completa contra los riesgos de seguridad.

El antivirus es sin duda una de las herramientas imprescindibles para su dispositivo. Sin embargo, para protegerse completamente de cualquiera que husmee en su vida personal, pruebe la solución AntiSpy de Clario. Clario ofrece una suite antiespía con funciones personalizadas para usuarios móviles y una solución integral de ciberseguridad para su Mac. Prueba Clario ahora.

Utilice dos teléfonos inteligentes: uno para el trabajo y otro para la vida personal

Si está involucrado en un proyecto delicado o trabaja en un campo que puede convertirlo en un objetivo de ciberataque de alto perfil, utilice dos teléfonos inteligentes. Utilice un teléfono para sus asuntos personales y el otro exclusivamente para su trabajo, y asegúrese de que su identidad laboral y su identidad personal estén separadas. Esto dificultará que los ciberdelincuentes que lo atacan con exploits sin clic accedan a información delicada sobre usted, como su ubicación en tiempo real.

Conclusión

Contrariamente a la creencia de que iOS es más seguro que Android y menos propenso a ataques cibernéticos, los usuarios de iPhone han sufrido una buena cantidad de ataques sin clic. No existe una batalla de seguridad entre iOS y Android en la lucha contra los ciberataques, y mucho menos con exploits sin clic. Cree una barrera segura para proteger sus dispositivos y cuentas en línea contra ataques sin clic con Clario.