Un investigador de la empresa sueca de telecomunicaciones y ciberseguridad Enea ha descubierto una táctica previamente desconocida que el Grupo NSO de Israel ha puesto a disposición para su uso en campañas para colocar su notoria herramienta de software espía móvil Pegasus en dispositivos móviles pertenecientes a personas objetivo en todo el mundo.
El investigador descubrió la técnica al examinar una entrada titulada “MMS Fingerprint” en un contrato entre un revendedor de NSO Group y el regulador de telecomunicaciones de Ghana.
El contrato formaba parte de documentos judiciales disponibles públicamente asociados con una demanda de 2019 que involucra a WhatsApp y NSO Group, por la explotación por parte de este último de una falla de WhatsApp para implementar Pegasus en dispositivos pertenecientes a periodistas. activistas de derechos humanos, abogados y otros a nivel mundial.
Creación de perfiles de dispositivos sin hacer clic para Pegasus
El contrato describía MMS Fingerprint como algo que un cliente de NSO podía utilizar para obtener detalles sobre un dispositivo BlackBerry, Android o iOS objetivo y su versión de sistema operativo, simplemente enviándole un mensaje de Servicio de mensajería multimedia (MMS).
"No se requiere interacción, participación o apertura de mensajes del usuario para recibir la huella digital del dispositivo", señala el contrato.
En una publicación de blog la semana pasada, El investigador de Enea, Cathal McDaid, dijo que decidió investigar esa referencia porque “MMS Fingerprint” no era un término conocido en la industria.
“Si bien siempre debemos considerar que NSO Group puede simplemente estar 'inventando' o exagerando las capacidades que afirma tener (según nuestra experiencia, las empresas de vigilancia regularmente prometen demasiado sus capacidades), el hecho de que esto fuera en un contrato y no en un anuncio sugiere que era más probable que fuera real”, escribió McDaid.
Toma de huellas digitales debido a un problema con el flujo MMS
La investigación de McDaid rápidamente lo llevó a concluir que la técnica mencionada en el contrato de NSO Group probablemente tenía que ver con el flujo MMS en sí y no con vulnerabilidades específicas del sistema operativo.
El flujo normalmente comienza cuando el dispositivo del remitente envía inicialmente un mensaje MMS al Centro MMS (MMSC) del remitente. Luego, el MMSC del remitente reenvía ese mensaje al MMSC del destinatario, que luego notifica al dispositivo del destinatario sobre el mensaje MMS en espera. Luego, el dispositivo destinatario recupera el mensaje de su MMSC, escribió McDaid.
Debido a que los desarrolladores de MMS lo introdujeron en un momento en el que no todos los dispositivos móviles eran compatibles con el servicio, decidieron utilizar un tipo especial de SMS (llamado "WSP Push") como una forma de notificar a los dispositivos destinatarios sobre los mensajes MMS pendientes en el sistema. MMSC del destinatario. La solicitud de recuperación posterior no es realmente un MMS sino una solicitud HHTP GET enviada a una URL de contenido que figura en un campo de ubicación de contenido en la notificación, escribió el investigador.
"Lo interesante aquí es que dentro de este HTTP GET, se incluye la información del dispositivo del usuario", escribió. McDaid concluyó que probablemente así fue como NSO Group obtuvo la información del dispositivo objetivo.
McDaid probó su teoría utilizando algunas tarjetas SIM de muestra de un operador de telecomunicaciones de Europa occidental y después de algunas pruebas y errores pudo obtener información del UserAgent del dispositivo de prueba y la información del encabezado HTTP, que describía las capacidades del dispositivo. Concluyó que los actores de NSO Group podrían usar la información para explotar vulnerabilidades específicas en sistemas operativos móviles, o para adaptar Pegasus y otras cargas maliciosas a los dispositivos de destino.
"O podría usarse para ayudar a elaborar campañas de phishing contra el ser humano que usa el dispositivo de manera más efectiva", señaló.
McDaid dijo que sus investigaciones durante los últimos meses no han descubierto evidencia de que nadie haya explotado la técnica en la naturaleza hasta el momento.
- Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
- PlatoData.Network Vertical Generativo Ai. Empodérate. Accede Aquí.
- PlatoAiStream. Inteligencia Web3. Conocimiento amplificado. Accede Aquí.
- PlatoESG. Carbón, tecnología limpia, Energía, Ambiente, Solar, Gestión de residuos. Accede Aquí.
- PlatoSalud. Inteligencia en Biotecnología y Ensayos Clínicos. Accede Aquí.
- Fuente: https://www.darkreading.com/application-security/nso-group-adds-mms-fingerprinting-zero-click-attack-spyware-arsenal
