La Seguretat de l’Estat considera que Pegasus és «imparable»

«Adquirir i enviar les dades que s’agafen del mòbil atacat implica un trànsit de dades, i això sí que és perceptible», explica Josep Albors, responsable d’Investigació d’Eset España, filial de la multinacional de ciberseguretat d’origen eslovac. Qui va espiar no va voler que una emissió inusualment elevada de dades des dels mòbils dels ministres cridés l’atenció a hores de trànsit de xarxa no gaire intens, «per exemple, quan Marlaska dormia», explica Albors.

Aquesta és l’única empremta de Pegasus que avui pot seguir un servei de seguretat comuna... però en el moment de la punxada. I poc més. Les fonts consultades a la Seguretat de l’Estat s’ho prenen amb filosofia: només es pot augmentar el pressupost per a terminals de telèfon dels alts càrrecs, ja que l’únic que poden fer és revisar i, si detecten, sempre a posteriori, el pas de Pegasus, canviar el terminal infectat per un de nou.

Els enginyers de ciberseguretat estan perdent de moment la batalla contra el programa espia israelià. «Ara Pegasus és imparable», diu un expert estatal en contraespionatge electrònic versionant una conclusió general a tot Europa. «No es pot impedir un atac de Pegasus –corrobora Albors–, el que sí que es pot fer és detectar-lo a temps, avisar... i canviar de terminal».

Els dos tècnics es refereixen a l’etapa .4 que viu ja Pegasus. D’intercepcions més tosques (dels temps de l’espionatge) ha passat a ser un sistema zero clic. Tant els ministres espiats el 2021 com els independentistes el 2020 van rebre un fals missatge i van activar el malware a l’obrir-lo, clicar o contestar. Ara Pegasus no necessita que el seu objectiu cliqui res, ni que llegeixi un missatge, actualitzi el mòbil, autoritzi la instal·lació d’una app...). L’atacant en té prou amb saber el número de telèfon del seu objectiu i enviar el codi espia «aprofitant les portes que es deixen obertes programes complexos de missatgeria», assegura l’expert estatal, en al·lusió a WhatsApp o iMessage.

Classe dirigent

Classe dirigentLes escoltes que ara puguin realitzar el CNI o la DGED, (Direcció General d’Estudis i Documentació, l’espionatge exterior marroquí) són ara encara més silencioses. «Envien per iMessage un gif que en realitat camufla un PDF autoexecutable. No necessita resposta. L’amo del telèfon no s’assabenta que l’ha rebut. I s’instal·la al mòbil», explica Albors.

Eset, l’empresa per a la qual treballa, va detectar versions anteriors de Pegasus en telèfons no IOS, com Android Spy i Chrysaor. Com altres del sector, la firma té eines per detectar un atac, sistemes antivirus per a mòbils Android que fan saltar l’alarma, fins i tot per 10 euros a l’any, molt menys dels 43.000 euros que costa penetrar amb Pegasus en un telèfon mòbil. Són antivirus «per lidiar amb amenaces utilitzades per delinqüents, com troians bancaris i ‘spyware’», relata.

Però els polítics tenen un problema: «La majoria dels atacs identificats han sigut dirigits a dispositius IOS –explica Josep Albors–. En aquest cas, hi ha la possibilitat de detectar-lo només després, fent una anàlisi forense».

La classe dirigent, parlamentaris i alts càrrecs, als països OTAN reben iPhones per treballar. I els telèfons d’Apple s’han tornat més atacables «no només per ser els més nombrosos entre els polítics, també perquè la companyia no permet la instal·lació d’antivirus que no siguin els seus», explica aquest expert.

La iniciativa MVT

La iniciativa MVTPassat un mes de l’esclat d’aquesta nova entrega del cas Pegasus, Albors no sabria quantificar encara en quin percentatge exacte, però sí que certifica que al sector s’han disparat les consultes a especialistes sobre contraespionatge, «i l’interès dels usuaris per protegir els seus telèfons ha augmentat».

Mentre mira de tancar portes dels seus mòbils, Apple ha portat els tribunals NSO Group amb una denúncia presentada als Estats Units el novembre passat. Entre el febrer i el setembre del 2021 la firma californiana va aconseguir detectar atacs de Pegasus, però va ser abans que una nova versió convertís aquest programa en un zero clic.

No només les empreses busquen escuts per vendre contra Pegasus. Hi ha també iniciatives lliures. Des de la reedició del cas a Espanya, que ha ressuscitat a nivell internacional la fama del ‘software’ espia després d’un altre escàndol el 2020, hi estan havent un munt de propostes per combatre el cavall alat, un armer discret i especial d’aquesta guerra sorda: Github.

Es tracta d’un reposador web en el qual conflueixen desenvolupadors lliures i entitats de lluita pels drets civils, com Amnesty International. Aquesta oenagé, en col·laboració amb l’entitat canadenca Citizen Lab i altres ‘partners’», ha penjat en aquest ‘hub’ el MVT (Mobile Verification Toolkit) una eina informàtica de codi font obert que, si no atura Pegasus, sí que pot donar la veu d’alarma. Entre les seves municions, una llista d’adreces de correu iCloud utilitzades per a atacs zero clic per iMessage, o una via, Python 3, per instal·lar aquest MVT als ordinadors Apple.

Notícies relacionades

Al centre de la diana

El 12M i el botó nuclear de Sánchez

Però cap de les fonts confia gaire en la seva eficàcia. Josep Albors ho resumeix així: «Donen massa falsos positius». Pel tècnic consultat a la Seguretat de l’Estat, aquest fet, que corrobora, és la base de l’afirmació que tant la ministra de Defensa com l’excap del CNI, Paz Esteban, han fet al Congrés dubtant de la precisió de les anàlisis de Citizen Lab. «Només qui té Pegasus reconeix al cent per cent un atac de Pegasus», reitera l’expert estatal, una afirmació que va fer una altra font de la Seguretat de l’Estat a aquest diari.

I més en un camp en què, contra el que s’ha estès, no només els estats poden disposar del famós programa espia. En realitat el pot tenir «tot aquell a qui l’hi consenti el Mossad», explica el funcionari. El servei secret d’Israel veta amb autoritzacions o negatives del seu ministeri de Defensa els clients que truquen a la porta de NSO Group a través d’intermediaris. No ho fan per vendre només a estats; més aviat es tracta que Pegasus no acabi en mans de l’OAP, o d’Al-Fatah, o de l’Iran... i també d’una forma híbrida de la seva diplomàcia.