El software espía para iPhone deja de ser exclusivo de los espías: tres cuartas partes de las infecciones son obra de cibercriminales comunes

El software espía para iPhone dejó de ser un arma exclusiva de los servicios secretos. Según un estudio de iVerify, tres cuartas partes de las infecciones detectadas están relacionadas con ciberdelincuentes comunes. Están en riesgo empleados comunes y propietarios de teléfonos inteligentes que ni siquiera sospechan que son espiados.

La empresa iVerify publicó el estudio el 10 de noviembre. Entre los usuarios de su servicio para consumidores, los especialistas detectaron 1,07 infecciones por cada mil comprobaciones, es decir, aproximadamente una por cada 935. En la muestra corporativa, la tasa fue de 0,7 por cada mil. No se reveló el número exacto de dispositivos examinados. La estadística se refiere a la audiencia del servicio, no a todos los propietarios de iPhone.

Aproximadamente el 75% de los casos detectados están relacionados con campañas delictivas que utilizan los paquetes de exploits Coruna y DarkSword. En los casos restantes se encontraron, entre otros, programas comerciales como Pegasus. A los delincuentes les interesan principalmente las contraseñas, la correspondencia y las criptomonedas, no la información política. Las herramientas de vigilancia ahora se utilizan para el robo masivo de dinero.

Para infectarse no es necesario instalar una aplicación sospechosa. El código malicioso se distribuye a través de publicidad, páginas de phishing y sitios comprometidos. En un ataque de tipo 'watering hole' basta con abrir una página infectada en una versión vulnerable de iOS. La cadena de exploits aprovecha errores del navegador y del sistema operativo para eludir la protección del teléfono inteligente. Algunos escenarios se activan sin necesidad de acción adicional.

Coruna incluye 23 exploits y cinco cadenas de ataque para iOS 13–17.2.1. Antes, herramientas similares se empleaban en operaciones de ciberespionaje; más tarde pasaron a manos de grupos delincuenciales. DarkSword utiliza otra cadena de vulnerabilidades que afecta a determinadas versiones de iOS 18. Ambos conjuntos son capaces de robar contraseñas guardadas, mensajes, fotografías y otros archivos, y algunos módulos maliciosos buscan claves de monederos criptográficos.

Según el cofundador de iVerify, Rokki Koula, en ataques delictivos los teléfonos infectados pertenecían no a altos directivos, sino a empleados comunes. La compromisión de un dispositivo personal puede abrir acceso al correo laboral y a los servicios si en el teléfono inteligente se almacenan credenciales corporativas. Para una empresa incluida en la lista Fortune 500 con 61 000 empleados, iVerify estima el número de infecciones en 65 por año.

El problema adicional está relacionado con las advertencias de Apple. Según el estudio de iVerify, los propietarios de teléfonos con infección confirmada por Coruna o DarkSword no recibieron notificaciones de la empresa sobre la amenaza de vigilancia dirigida. Los programas maliciosos también borran cada vez mejor las huellas de su actividad. Debido al descubrimiento tardío, a veces es difícil reconstruir el panorama del ataque.

Los autores recomiendan que las empresas no limiten la protección a directivos y a otras posibles víctimas de alto valor. Las actualizaciones de iOS corrigen vulnerabilidades conocidas, pero para detectar intrusiones hacen falta herramientas de comprobación de dispositivos. La historia de Coruna muestra cómo una herramienta cara de ciberespionaje puede llegar al mercado delictivo, y el análisis de DarkSword explica por qué incluso una visita habitual a un sitio web puede acabar en la pérdida de datos.