A mediados de septiembre, la agencia de seguridad del gobierno estadounidense CISA ordenó a todas las agencias federales que parchearan dos vulnerabilidades de día cero en dispositivos OS, iPadOS y macOS. Estos eran solo los últimos fallos de software, hasta entonces desconocidos, que se explotaban para distribuir el tristemente célebre programa espía Pegasus, cuyo desarrollador, NSO Group, está en el centro de múltiples demandas.

La empresa israelí es una de las muchas empresas comerciales de software espía apodadas “cibermercenarias” por los gobiernos y empresas de tecnología occidentales. Ellos y un grupo más oscuro de hackers a sueldo representan una amenaza creciente para organizaciones de todos los tamaños y sectores, ya que facilitan el espionaje industrial, el espionaje gubernamental y otras actividades nefastas.

Si incluso el teléfono de Jeff Bezos puede ser pirateado por estos grupos, es hora de tomar la amenaza en serio.

¿Quiénes son los cibermercenarios?

Cibermercenario es un término utilizado de diferentes maneras por diferentes partes. A grandes rasgos, podemos dividirlo en dos tipos de actores de amenazas:

Fabricantes de software espía comercial: Estas empresas operan en una zona gris legal, afirmando vender software espía y exploits a gobiernos únicamente con fines legítimos de aplicación de la ley y recopilación de inteligencia. En realidad, sus herramientas suelen utilizarse contra periodistas, disidentes, activistas de derechos humanos y otros opositores de regímenes generalmente autocráticos. Citizen Lab descubrió las dos vulnerabilidades de día cero mencionadas anteriormente en el teléfono de un empleado de una organización de la sociedad civil con sede en Washington.

Ejemplos de estas empresas incluyen NSO Group, Circles, Intellexa, Cytrox y BellTroX InfoTech Services.

Hackers a sueldo: Se trata de grupos criminales más evidentes que no pretenden operar como organizaciones comerciales semilegítimas. Sin embargo, al igual que los fabricantes de software espía comercial, su trabajo con los clientes se mantiene en estricta confidencialidad. Si bien también atacan a periodistas, activistas y otras personas de alto riesgo, estos grupos pueden ofrecer sus servicios para espionaje industrial, lo que permite a organizaciones que, de otro modo, serían respetables, mantener una negación plausible.

Los grupos incluyen los Decepticons, Dark Basin y Void Balaur.

En ambos casos, se sospecha que grupos cibermercenarios tienen vínculos con diversas agencias de inteligencia. Tres exoficiales de inteligencia estadounidenses fueron expuestos en 2021 por trabajar como hackers a sueldo para el gobierno de los Emiratos Árabes Unidos y posteriormente demandados junto con el fabricante de software espía comercial DarkMatter. Se dice que Intellexa está dirigida por un exagente de inteligencia israelí. Además, un informe aparte reveló una conexión singular y efímera entre la infraestructura de ataque utilizada por Void Balaur y el Servicio Federal de Protección (FSO) ruso.

¿Cómo funcionan los ataques?

Los piratas informáticos a sueldo tienen una amplia gama de técnicas, tácticas y procedimientos (TTP) a su disposición. Pero como la mayoría de los actores de amenazas, cuando pueden, optarán por la forma más rápida y sencilla de lograr sus objetivos. Eso podría significar phishing y robo de información, malware y sus principales herramientas para comprometer a sus víctimas y utilizar herramientas legítimas como PowerShell para la actividad posterior a la intrusión. Pueden apuntar a cuentas comerciales de correo electrónico, redes sociales y de mensajería, así como a sus equivalentes corporativos y sistemas de TI de back-end.

“La mayor amenaza que plantean estos grupos de mercenarios es que no les importa el objetivo. Por la cantidad justa de dinero, los mercenarios, por definición, ejecutarán un contrato a expensas de cualquier ética. Esto pone a la infraestructura crítica, la atención médica y otros sectores vitales en la mira de quién está dispuesto a pagar”, dijo Morgan Wright, asesor jefe de seguridad de SentinelOne, a ISMS.online.

 “Las personas y organizaciones que corren mayor riesgo son las que menos hacen para protegerse. Los empleados se ponen en riesgo cuando comparten demasiada información sobre ellos mismos en sitios como LinkedIn o varias plataformas de redes sociales”.

Descubriendo la amenaza del software espía

Sin embargo, en el caso de entidades comerciales, el TTPS puede ser significativamente más sofisticado. Las vulnerabilidades de día cero se investigan minuciosamente y a menudo apuntan a dispositivos Apple con intrusiones sin clic con las que el usuario ni siquiera necesita interactuar para infectarse. Luego, se implementa software espía para acceder a los mensajes, correos electrónicos, fotos, inicios de sesión, libretas de direcciones, uso de aplicaciones, datos de ubicación y micrófono y cámara del dispositivo de la víctima. 

Matt Ellison, especialista en ciberseguridad de Corelight, describe a los grupos detrás de tales amenazas como si mostraran “la apariencia y el comportamiento de un traficante de armas sin escrúpulos”. Nadie en una organización está a salvo, aunque los altos ejecutivos parecen ser un objetivo natural dado el nivel de influencia y acceso que tienen.

"Puede variar y depende del rol, la organización y el objetivo del cliente del cibermercenario", dice Ellison a ISMS.online. "Definitivamente es un nivel adicional de amenaza por encima de las típicas amenazas cibernéticas vistas por la mayoría de las organizaciones comerciales".

Estados Unidos contraataca

Afortunadamente, el gobierno estadounidense ha modificado significativamente su postura recientemente, incluyendo a varios fabricantes de software espía comercial en una lista de entidades restringidas, entre ellos Candiru, NSO Group, Intellexa y Cytrox . Esto dificultará, en teoría, que estas empresas adquieran componentes de compañías estadounidenses. Una orden ejecutiva presidencial también busca impedir que el gobierno federal compre software espía utilizado por naciones extranjeras para espiar a activistas y disidentes. Esto debería reducir las oportunidades comerciales para dichos desarrolladores.

Estados Unidos también está intentando presionar a otros gobiernos para que adopten una postura igualmente firme . La industria tecnológica ha unido fuerzas para frenar las actividades de los ciberdelincuentes, preocupada no solo por los derechos humanos, sino también por la acumulación de vulnerabilidades, lo que en última instancia convierte al mundo digital en un lugar más peligroso.

Un SGSI y más allá

Pero mientras tanto, ¿qué pueden hacer las organizaciones para mitigar la amenaza a sus ejecutivos y a sus activos críticos de TI/datos? Un sistema de gestión de seguridad de la información (SGSI) puede proporcionar una buena base de seguridad, lo que puede ayudar a mitigar muchas de las técnicas que utilizan los piratas informáticos a sueldo para comprometer los objetivos. Sin embargo, Wright, de SentinelOne, advierte contra la complacencia.

“Nada es garantía de no verse comprometido. Identificar debilidades y problemas de políticas es el comienzo de un viaje hacia una capacidad sólida de ciberseguridad”, argumenta. "El cumplimiento ayuda a mantener la conciencia de las cosas importantes".

Las organizaciones también deben ir más allá de lo básico si quieren repeler ataques de software espía comercial más avanzados que aprovechan las vulnerabilidades de día cero.

"La propia naturaleza de estas herramientas y la forma en que se utilizan e implementan generalmente significa que tienen un nivel de dificultad para detectar que es sustancialmente mayor que el malware o ransomware promedio", dice Ellison de Corelight. "Si usted está en una organización que tiene más probabilidades de verse amenazada por estas herramientas, es importante abordarlas por separado dentro del marco que utiliza para proteger su organización".

Kaspersky explica que los usuarios deben aprender a detectar las señales de alerta del software espía: la rápida disminución de la batería y el posible alto consumo de datos. Otras medidas para mitigar la amenaza incluyen actualizar periódicamente el sistema operativo y otros programas del dispositivo, la autenticación multifactor (MFA), el software antivirus y reiniciar el dispositivo diariamente. En dispositivos iOS, se recomienda a los usuarios de alto riesgo que desactiven iMessage y FaceTime. Para los ataques mencionados al principio de este artículo, el Modo Bloqueo también resulta útil.

Sin embargo, incluso Kaspersky fue víctima de una sofisticada operación de software espía. Las organizaciones deben gestionar el riesgo lo mejor posible, practicar sus planes de respuesta a incidentes con regularidad e incorporar expertos en ciberseguridad a sus análisis de amenazas.