Otro fabricante de software espía fue descubierto distribuyendo aplicaciones falsas de espionaje para Android

Según un nuevo informe, otro fabricante de software espía respaldado por el gobierno fue arrestado después de que sus clientes utilizaran aplicaciones falsas de Android para instalar software de vigilancia en sus objetivos.

El jueves, Osservatorio Nessuno, una organización italiana de derechos digitales que estudia el software espía, publicó un informe sobre un nuevo malware llamado Morpheus. Este software espía se disfraza de una aplicación de actualización de teléfonos móviles y puede robar una amplia gama de datos del dispositivo objetivo.

Los hallazgos de los investigadores muestran que el software espía tiene una demanda tan alta por parte de las agencias policiales y de inteligencia que hay muchas empresas que ofrecen la tecnología, algunas de las cuales operan fuera del ojo público.

En este caso, el Osservatorio Nessuno concluyó que el software espía estaba relacionado con IPS. IPS es una empresa italiana que ha estado proporcionando la tradicional tecnología de interceptación legal (es decir, herramientas utilizadas por los gobiernos para capturar comunicaciones en tiempo real de personas a medida que fluyen a través de las redes de proveedores de telefonía e Internet) durante más de 30 años.

Según el sitio web de IPS, la empresa opera en más de 20 países, pero sus productos de software espía probablemente no se mencionan y se han mantenido en secreto hasta el día de hoy. La empresa cuenta entre sus clientes con varias fuerzas policiales italianas.

IPS no respondió a la solicitud de TechCrunch de comentar sobre este informe.

Los investigadores llaman a Morpheus un software espía de «bajo costo» porque se basa en un mecanismo de infección rudimentario que engaña a los objetivos para que instalen el software espía ellos mismos.

Los fabricantes de software espía gubernamentales más sofisticados, como NSO Group y Paragon Solutions, permiten a sus clientes gubernamentales infectar sus objetivos con técnicas invisibles conocidas como ataques sin clic. Esta técnica instala malware de forma completamente sigilosa e invisible explotando vulnerabilidades costosas y difíciles de descubrir que eluden las defensas de seguridad de un dispositivo.

En este caso, las autoridades consiguieron la cooperación del proveedor de telefonía móvil del objetivo, quien comenzó a bloquear intencionalmente los datos móviles del objetivo, dijeron los investigadores. En ese momento, el proveedor de comunicaciones envió un SMS al objetivo, instándolo a actualizar su teléfono e instalar una aplicación que creía que le ayudaría a recuperar el acceso a los datos de su teléfono. Esta es una estrategia que ha sido bien documentada en otros incidentes que involucraron a otros fabricantes italianos de software espía.

Una vez instalado, este software espía explota las funciones de accesibilidad integradas de Android, lo que le permite leer datos en la pantalla de la víctima e interactuar con otras aplicaciones. Los investigadores dicen que el malware fue diseñado para acceder a todo tipo de información en el dispositivo.

Luego, el software espía provocó una actualización falsa, presentó al objetivo una pantalla de reinicio y finalmente falsificó la aplicación WhatsApp y le pidió al objetivo que proporcionara datos biométricos para probar su identidad. Sin que el objetivo lo supiera, el grifo biométrico agregó el dispositivo a la cuenta y le dio al software espía acceso completo a la cuenta de WhatsApp. Esta es una estrategia conocida utilizada por los piratas informáticos del gobierno ucraniano y las recientes operaciones de espionaje en Italia.

Antigua empresa y nuevo software espía

Los investigadores del Osservatorio Nessuno, que pidieron ser referidos por Davide y Giulio sólo por su nombre de pila, concluyeron que, basándose en la infraestructura del software espía, el software espía pertenece al IPS.

En particular, una de las direcciones IP utilizadas en la campaña fue registrada en «IPS Intelligence Public Security».

Los dos también descubrieron algunos fragmentos de código que contenían frases en italiano. Esto parece ser una tradición en la industria italiana del software espía. El código de malware contenía palabras italianas, incluidas referencias a Gomorra, un famoso libro y programa de televisión sobre la mafia napolitana, y «spaghetti».

Davide y Giulio dijeron a TechCrunch que, aunque no podían proporcionar detalles sobre quién fue el objetivo, creían que el ataque estaba «relacionado con la actividad política» en Italia, y agregaron que «este tipo de ataque dirigido es ahora muy común».

Los investigadores de una empresa de ciberseguridad le dijeron a TechCrunch que su empresa está rastreando este malware en particular. Después de revisar el informe del Osservatorio Nessuno, los investigadores dijeron que el malware definitivamente fue desarrollado por el fabricante italiano de tecnología de vigilancia.

IPS es el último de una larga lista de fabricantes italianos de software espía, y llena el vacío dejado por la desaparecida empresa italiana Hacking Team, uno de los primeros fabricantes de software espía del mundo. La empresa controlaba una gran parte del mercado nacional, excluidas las ventas en el extranjero, antes de ser pirateada y desde entonces ha sido vendida y renombrada. En los últimos años, los investigadores han arrestado públicamente a varios fabricantes italianos de software espía, incluidos CY4GATE, eSurv, GR Sistemi, Movia, Negg, Raxir, RCS Lab y, más recientemente, SIO.

A principios de este mes, WhatsApp notificó a unos 200 usuarios que habían instalado una versión falsa de la aplicación, que en realidad era un software espía creado por SIO. En 2021, los fiscales italianos suspendieron el uso del software espía CY4GATE y SIO debido a graves defectos.