WhatsApp ha corregido una vulnerabilidad Zero-Day que se utilizaba para instalar el software espía Graphite de la empresa israelí Paragon. La compañía abordó el vector de ataque a finales del año pasado, desmantelando una campaña de spyware dirigida a varios usuarios, incluyendo periodistas y miembros de la sociedad civil.
Ataques a usuarios específicos
El 31 de enero, tras mitigar el exploit de Zero-Click empleado en estos ataques, WhatsApp notificó a aproximadamente 90 usuarios de Android de más de dos docenas de países, incluyendo periodistas y activistas italianos, que habían sido víctimas del spyware Paragon para recopilar datos confidenciales e interceptar sus comunicaciones privadas.
Mecanismo de ataque
Los investigadores descubrieron que los atacantes añadieron a las víctimas a un grupo de WhatsApp antes de enviarles un PDF. En la siguiente etapa del ataque, el dispositivo de la víctima procesó automáticamente el PDF, aprovechando la vulnerabilidad de día cero ya parcheada, para instalar un implante de spyware Graphite en WhatsApp.
Impacto y consecuencias
Posteriormente, el implante comprometió otras aplicaciones en los dispositivos afectados al eludir el entorno de pruebas de Android. Una vez instalado, el spyware proporciona a sus operadores acceso a las aplicaciones de mensajería de las víctimas.
Detección y análisis forense
Las infecciones de spyware Graphite pueden detectarse en dispositivos Android pirateados mediante un artefacto forense denominado BIGPRETZEL, que analiza los registros de los dispositivos afectados. Sin embargo, la falta de evidencia de infección no excluye que los indicadores forenses se sobrescriban o no se capturen debido a la naturaleza esporádica de los registros de Android.
Infraestructura y operaciones
Citizen Lab mapeó la infraestructura de servidores utilizada por Paragon para implementar los implantes de spyware Graphite en los dispositivos objetivo, encontrando posibles vínculos con múltiples clientes gubernamentales, como Australia, Canadá, Chipre, Dinamarca, Israel y Singapur.
Historia de la empresa
Paragon Solutions Ltd., desarrollador israelí de software espía, fue fundada en 2019 por Ehud Barak, ex primer ministro israelí, y Ehud Schneorson, ex comandante de la Unidad 8200 de Israel. El grupo de inversión AE Industrial Partners, con sede en Florida, adquirió la empresa en diciembre de 2024.
Uso por parte de autoridades
A diferencia de competidores como NSO Group, Paragon afirma que solo vende sus herramientas de vigilancia a agencias policiales y de inteligencia en países democráticos que buscan perseguir a delincuentes peligrosos.
Contratos con organismos estadounidenses
En diciembre de 2022, el New York Times informó que la Administración para el Control de Drogas de Estados Unidos (DEA) utilizó el software espía Graphite de la empresa. Dos años después, en octubre de 2024, Wired informó que Paragon firmó un contrato de 2 millones de dólares con el Servicio de Inmigración y Control de Aduanas de Estados Unidos (ICE).