Apple acaba de compartir una importante actualización de seguridad para iOS, iPad OS y macOS: un grupo de investigadores ha descubierto un exploit oculto en el código de iMessage que permitía que el famoso software espía Pegasus, de la compañía israelí NSO, pudiese infectar dispositivos de esta marca -iPhone, iPad, Mac y Apple Watch-.
La multinacional estadounidense advierte en la descripción de iOS 14.8 para iPhone de que “esta actualización provee mejoras importantes de seguridad y se recomienda a todos los usuarios” y con ella responde a la brecha de seguridad descubierta por el Citizen Lab de la Universidad de Toronto, Canadá.
Según esta organización, la empresa de software israelí NSO Group lleva desde febrero infectando teléfonos iPhone y otros dispositivos de Apple, aprovechando un fallo de seguridad en el programa de mensajería instantánea iMessage, y afecta tanto a iOS (sistema operativo para móviles) como a MacOS (ordenadores) y WatchOS (relojes).
Para asegurarte de que tus dispositivos reciban la actualización, verifica que estés usando iOS 14.8, iPadOS 14.8, watchOS 7.6.2, macOS Big Sur 11.6 y la actualización de seguridad 2021-005 para macOS Catalina. Según Apple, los dispositivos iOS y iPadOS compatibles incluyen: “iPhone 6s y posteriores, iPad Pro (todos los modelos), iPad Air 2 y posteriores, iPad de quinta generación y posteriores, iPad mini 4 y posteriores, y iPod touch (séptima generación)”.
Para actualizar el sistema operativo en un iPhone debes ir a Configuración/General/Actualización de software y allí descargar la versión iOS 14.8 -el proceso es prácticamente el mismo para iPadOS y MacOS-.
Como decimos, el ‘exploit de día cero' fue descubierto por investigadores de ciberseguridad del Citizen Lab. En la terminología de Apple, la actualización se conoce como ‘CVE-2021-30860' y acredita a Citizen Lab por encontrar la vulnerabilidad.
Los responsables del descubrimiento afirman que se dieron cuenta del mismo “al buscar en un teléfono infectado con Pegasus que pertenecía a un activista saudí”, y descubrieron que el NSO Group “probablemente había explotado una vulnerabilidad llamada ‘cero clic' en iMessage para que Pegasus ingresara al dispositivo”. Todo lo que NSO tenía que hacer para ingresar al dispositivo de este activista era enviar un iMessage invisible cargado de malware sin su conocimiento, según los investigadores.
A diferencia de la mayoría de malware, este tipo de spyware se instala sin necesidad de que el usuario realice ninguna operación, simplemente explotando una vulnerabilidad del sistema, y afecta a todas las versiones de los sistemas operativos salvo a las emitidas este mismo lunes.
Quien esté detrás del exploit puede hacer “todo lo que un usuario de iPhone puede hacer en su dispositivo y más” una vez que está infectado, decían los investigadores. Esto incluye el seguimiento de los mensajes de texto o correos electrónicos enviados, las llamadas realizadas y el encendido de la cámara sin el conocimiento del usuario. Incluso si esas comunicaciones ocurren a través de una aplicación cifrada, como Signal o Telegram, NSO aún puede recolectar esos datos y transmitirlos a su clientela, informa The New York Times.