Dada la naturaleza cerrada del sistema operativo de Apple, los investigadores no disponían de herramientas para analizar directamente los dispositivos. Por este motivo decidieron crear copias de respaldo para examinarlas offline con una herramienta externa, Mobile Verification Toolkit (MVT), que permite realizar un análisis forense de dispositivos iOS y Android.
Con este examen forense identificaron varios indicios de la infección de los dispositivos y pudieron reconstruir como se había producido. Primero, el iPhone objeto del ataque recibe un mensaje “invisible” con un archivo malicioso adjunto. Este archivo contiene un exploit, un código que aprovecha vulnerabilidades de un sistema para realizar acciones no autorizadas.
El usuario no ve el mensaje en ningún momento y no es necesario que interactúe con él para que se active la infección. Esta se produce desde el momento de la recepción del mensaje aprovechando vulnerabilidades de iOS que permiten que el código malicioso se ejecute. A partir de ese momento, se conecta a un servidor remoto controlado por los atacantes desde el que descarga spyware y nuevos exploits que le permiten una escalada de privilegios. El análisis de todo lo que recibe no está completado, pero Kaspersky afirma que es una plataforma APT (Amenaza Persistente Avanzada, por sus siglas en inglés) completa.
“El código se ejecuta con privilegios de administrador, implementa un conjunto de comandos para recopilar información del usuario y del sistema, y puede ejecutar cualquier código descargado como módulos de complemento del servidor remoto”, explican desde Kaspersky.
Triangulación es efectivo contra móviles iPhone con la versión 15.7 del sistema operativo o inferior. La última disponible es la 16.3, por lo que es recomendable actualizarlo si se tiene la opción. Si no está disponible, puede ser porque se trate de un iPhone algo antiguo que no la soporte o estar deshabilitada la opción de actualizar por Triangulación, el único signo visible del ataque que han encontrado en los iPhone infectados.
La compañía ha señalado que todavía no tienen una forma de eliminar Triangulación de un dispositivo sin que se pierdan los datos del usuario. De hecho, la recomendación que hacen en el caso de un iPhone infectado es restaurar el móvil a sus valores de fábrica, eliminando en el proceso toda la información personal almacenada en el dispositivo. Y, en lugar de restaurar después una copia de seguridad, reinstalar todas las aplicaciones del usuario desde cero.
Kaspersky, que no cree que éste fuera un ataque específicamente dirigido contra la compañía, ha publicado una herramienta para Windows, Linux y MacOS que permite comprobar, desde el ordenador y sobre una copia de seguridad del dispositivo, si un iPhone está infectado con Triangulación.
Fuente: LA RAZON ESPAÑA
