Una investigación forense ha revelado que el spyware Graphite, desarrollado por la empresa Paragon, fue utilizado en ataques Zero-Click contra dispositivos Apple iOS de al menos dos periodistas europeos. Los investigadores del Citizen Lab han identificado a una víctima destacada que solicitó el anonimato y al periodista italiano Ciro Pellegrino como las personas afectadas.
Confirmación forense de los ataques
Según el análisis realizado por el Citizen Lab, se encontró evidencia forense que confirma con alta certeza que tanto el periodista europeo anónimo como Ciro Pellegrino fueron blanco del spyware mercenario Graphite. Los ataques ocurrieron a principios de 2025 y Apple envió una notificación a las víctimas el 29 de abril informándoles que habían sido objetivo de «spyware avanzado».
Vulnerabilidad explotada
El ataque utilizó la vulnerabilidad CVE-2025-43200, descubierta en el procesamiento de imágenes o videos maliciosos compartidos a través de un enlace de iCloud. Esta vulnerabilidad era una Zero-Day al momento del ataque y fue solucionada por Apple en la versión 18.3.1 de iOS, lanzada el 10 de febrero.
Mecanismo de entrega
El vector de entrega utilizado fue iMessage. El atacante empleó una cuenta denominada genéricamente como «ATTACKER1» para enviar mensajes especialmente diseñados que explotaban la vulnerabilidad CVE-2025-43200, permitiendo la ejecución remota de código sin interacción del usuario.
Operación Zero-Click
El ataque logró la entrega del spyware sin ninguna señal visible que alertara a la víctima. Una vez activo, el spyware contactó con un servidor de comando y control (C2) para recibir instrucciones adicionales. En este caso, el dispositivo infectado se conectó al servidor https://46.183.184[.]91, vinculado a la infraestructura de Paragon. Esta dirección IP estaba alojada en EDIS Global y estuvo activa hasta el 12 de abril.
Historial previo de ataques
La misma familia de spyware fue descubierta a principios de este año en otro ataque sin clic que explotaba una vulnerabilidad de día cero en WhatsApp, con objetivo a otras víctimas italianas. Las autoridades italianas confirmaron múltiples ataques contra personas del país, entre ellos el periodista Francesco Cancellato y los activistas Luca Casarini y el Dr. Giuseppe «Beppe» Caccia. Sin embargo, la identidad de los responsables sigue sin conocerse.