Un nuevo informe del Citizen Lab ha revelado que el dispositivo móvil del ex miembro del Parlamento Europeo Stelios Kouloglou fue pirateado repetidamente con el famoso software espía Pegasus mientras formaba parte de un comité encargado de investigar el abuso de este tipo de herramientas de vigilancia comercial en el bloque.
“A través del análisis forense de su dispositivo, descubrimos que los atacantes podrían haber tenido acceso a documentos confidenciales y deliberaciones del comité”, dijeron los investigadores del Citizen Lab John Scott-Railton, Bill Marczak, Bahr Abdul Razzak, Kate Pundyk, Siena Anstis y Ron Deibert.
Las infecciones no se han atribuido a ningún gobierno en particular hasta el momento y no hay evidencia de que el gobierno griego esté detrás de la actividad. Sin embargo, el laboratorio de investigación interdisciplinario canadiense señaló que identificó una superposición entre la primera infección y una campaña anterior dirigida a periodistas y activistas de habla rusa y bielorrusa exiliados en Europa.
Esto indica que un cliente de Pegasus con autorización para espiar en varios países europeos probablemente sea responsable del esfuerzo, añadió Citizen Lab.
Kouloglou fue miembro del “Comité de investigación para investigar el uso de Pegasus y software espía de vigilancia equivalente” del Parlamento Europeo desde el 24 de marzo de 2022 al 18 de julio de 2023. El Comité PEGA se creó el 10 de marzo de 2022 para investigar presuntos usos indebidos de ofertas comerciales de software espía según la legislación de la UE, centrándose específicamente en recopilar información sobre hasta qué punto los estados miembros y otros países están utilizando dichas herramientas en contravención. de los derechos y libertades de la región.
Citizen Lab dijo que un análisis forense de los artefactos recopilados de su iPhone en mayo de 2026 encontró que estaba comprometido con el software espía Pegasus alrededor del 21 de octubre de 2022, y nuevamente el 6 y 7 de marzo de 2023.
“El 21 de octubre de 2022 a las 10:16, se buscó una dirección de correo electrónico de HomeKit rauharepo888(@)gmail.com. Dos minutos más tarde, un proceso de Pegasus utilizó datos móviles”, explicaron los investigadores. Se ha evaluado que se utilizó un exploit sin clic en el software de hogar inteligente de Apple, cuyo nombre en código es PWNYOURHOME, para distribuir el software espía. Apple solucionó el problema en iOS 16.3.1.
También se dice que la actividad posterior de Pegasus observada en marzo de 2023 utilizó el mismo exploit como arma. En ambos momentos, el dispositivo de Kouloglou ejecutaba iOS 15.5. Un análisis más detallado del teléfono reveló que Kouloglou recibió notificaciones de amenazas de Apple sobre haber sido atacado con software espía mercenario en tres ocasiones: el 2 de marzo de 2023, el 29 de agosto de 2023 y el 10 de abril de 2024.
Curiosamente, durante la primera vez que el teléfono de Kouloglou fue pirateado, fue ingresado en un hospital para una cirugía electiva y había sido visitado por el periodista de investigación griego Thanasis Koukakis, quien tenía su propio teléfono comprometido con el software espía Predator de Intellexa y había testificado ante el Comité PEGA un mes antes.
El momento de la segunda infección en marzo de 2023 también es significativo, ya que coincidió con intensas discusiones relacionadas con el proceso de redacción final, seguidas de una serie de audiencias de PEGA. El incidente tuvo lugar dos meses antes de la adopción del primer informe del Comité PEGA.
Este hecho marca la primera vez que un miembro del Comité PEGA ha sido identificado públicamente como víctima del software espía Pegasus mientras formaba parte del comité.
La conexión entre el caso de Kouloglou y la campaña dirigida a periodistas independientes y activistas de la oposición de habla rusa y bielorrusa radicados en Europa se basa en el uso de la misma dirección de correo electrónico “rauharepo888(@)gmail.com”.
“Según nuestro conocimiento de la infraestructura de infección de Pegasus durante este período, creemos que estos correos electrónicos son exclusivos de operadores específicos”, dijo Citizen Lab. “No podemos decir si la segunda infección en 2023 está relacionada de manera similar con este operador o con otro operador”.
“Según lo que sabemos de la licencia del Grupo NSO, esto probablemente indicaría que el cliente tenía una licencia que permitía infecciones en múltiples jurisdicciones de la UE, reduciendo la lista de posibles operadores de Pegasus que podrían ser responsables de este caso”.
Los hallazgos plantean nuevas preocupaciones sobre cómo los gobiernos aprovechan el software espía aparentemente comercializado para combatir delitos graves, como el terrorismo y el abuso sexual infantil, para espiar las comunicaciones de periodistas, legisladores, disidentes y críticos.
El desarrollo se produce días después de que Citizen Lab revelara que las autoridades rusas utilizaron las herramientas forenses UFED de Cellebrite para ingresar al iPhone del activista opositor detenido Andrey Pivovarov en junio de 2021, tres meses después de que Cellebrite anunciara que dejaría de ofrecer sus herramientas y servicios a Rusia y Bielorrusia.
“Las autoridades buscaron en los dispositivos de Pivovarov organizaciones y contactos clave, así como figuras destacadas de la oposición”, dijo el Citizen Lab. “Los términos de búsqueda incluyeron a Mikhail Khodorkovsky, quien fundó Open Russia, Anastasiya Burakova, quien en ese momento era abogada de derechos humanos en Open Russia y actualmente dirige un destacado grupo contra la guerra, y la ex coordinadora de Open Russia y socia de Pivovarov, Tatiana Usmanova”.
Algunas de estas personas, incluida Burakova, fueron posteriormente objetivo de una campaña de phishing orquestada por un grupo de hackers ruso conocido como COLDRIVER, lo que plantea la posibilidad de que el uso de las herramientas de Cellebrite haya ayudado a facilitar el reconocimiento y permitir una mayor focalización y vigilancia de otros opositores al régimen en el extranjero.
En abril, Citizen Lab también descubrió dos campañas de espionaje distintas y de larga duración que están abusando de conocidas debilidades en la infraestructura global de telecomunicaciones para rastrear la ubicación de las personas. En particular, estos ataques no requieren la implementación de malware, lo que los hace sigilosos y más difíciles de detectar.
Una de las dos campañas funcionó enviando un tipo especial de mensaje de texto con comandos SMS ocultos maliciosos a los objetivos en un esfuerzo por “convertir el dispositivo en una baliza de seguimiento encubierta”, según el informe. La segunda campaña se basó en las debilidades del Sistema de Señalización No. 7 (SS7) y de los protocolos de señalización de Diámetro para rastrear el paradero de un individuo sin requerir acceso a sus dispositivos.
Se dice que las dos campañas han abusado de tres proveedores de telecomunicaciones específicos, a saber, 019Mobile, Airtel Jersey (parte de Sure Group) y Tango Networks UK, que actúan como “puntos de entrada y tránsito de vigilancia dentro del ecosistema de telecomunicaciones” y “permiten que el tráfico se mueva a través de interconexiones de señalización confiables al tiempo que otorgan acceso a actores de amenazas que se esconden detrás de su infraestructura”.
“Ambos actores utilizaron herramientas de vigilancia personalizadas para falsificar las identidades de los operadores, manipular protocolos de señalización y dirigir el tráfico a través de rutas de red de interconexión específicas para evadir las defensas y enmascarar la atribución”, dijo la organización de derechos digitales.
“Los hallazgos exponen cómo los proveedores de vigilancia comercial (CSV) sospechosos explotan el ecosistema global de interconexión de telecomunicaciones, aprovechan las redes de operadores privados y llevan a cabo operaciones encubiertas de seguimiento de ubicación que pueden persistir sin ser detectadas durante años”.