NSO Group admite haber cortado a 10 clientes porque abusaron de su software espía Pegasus, según documentos judiciales abiertos

El jueves, WhatsApp obtuvo una victoria legal al convencer a un juez federal de EE. UU. de que hiciera públicos tres documentos judiciales que incluyen nuevas revelaciones sobre el funcionamiento interno de Pegasus, el software espía creado por el fabricante israelí de tecnología de vigilancia NSO Group.

Los documentos recientemente revelados incluyen información proveniente de declaraciones de empleados de NSO durante los procedimientos legales, documentos internos de la empresa, así como, irónicamente, mensajes de WhatsApp intercambiados entre empleados de NSO, que WhatsApp obtuvo enviando citaciones a NSO.

Los documentos también revelan que NSO desconectó a 10 clientes gubernamentales en los últimos años del acceso al software espía Pegasus, citando abuso de su servicio.

Esta publicación de nuevas revelaciones es el último avance en la demanda que WhatsApp presentó en 2019, acusando a NSO de violar la ley anti-piratería, la Ley de Abuso y Fraude Informático, y de violar los términos de servicio de WhatsApp, al acceder a los servidores de WhatsApp y apuntar a usuarios individuales. con software espía enviado a través de la aplicación de chat. Las acusaciones se basan en una serie de ciberataques contra usuarios de WhatsApp, entre ellos periodistas, disidentes y defensores de derechos humanos.

“La evidencia revelada muestra exactamente cómo las operaciones de NSO violaron la ley estadounidense y lanzaron sus ciberataques contra periodistas, activistas de derechos humanos y la sociedad civil”, dijo el portavoz de WhatsApp, Zade Alsawah, en un comunicado enviado a TechCrunch. “Vamos a seguir trabajando para responsabilizar a NSO y proteger a nuestros usuarios”.

‘Decenas de miles’ de objetivos potenciales

Según los documentos judiciales, vistos por TechCrunch, NSO había desarrollado un conjunto de herramientas de piratería para usar contra objetivos que utilizan WhatsApp, capaces de acceder a datos privados en el teléfono del objetivo. La suite de piratería se llamó “Hummingbird” y dos de sus hazañas se denominaron “Eden” y “Heaven”.

Esta suite costó a los clientes gubernamentales de NSO, es decir, departamentos de policía y agencias de inteligencia, hasta 6,8 millones de dólares por una licencia de un año, y le generó a NSO “al menos 31 millones de dólares en ingresos en 2019, según uno de los documentos judiciales.

Gracias a estas herramientas de piratería, NSO instaló Pegasus en “entre cientos y decenas de miles” de dispositivos objetivo, según una declaración del jefe de investigación y desarrollo de NSO, Tamir Gazneli.

Hasta ahora, no estaba claro quién en realidad enviaba los mensajes maliciosos de WhatsApp dirigidos a personas con software espía. Durante años, NSO ha afirmado no tener conocimiento de las operaciones de los clientes y no participar en la realización de los ciberataques dirigidos. Los documentos judiciales recientemente publicados arrojan dudas sobre algunas de las afirmaciones de NSO.

WhatsApp argumentó en uno de los documentos judiciales que “el papel de los clientes de NSO es mínimo”, dado que los clientes gubernamentales solo necesitaban ingresar el número de teléfono del dispositivo objetivo y, citando a un empleado de NSO, “presionar Instalar y Pegasus instalará”. el agente en el dispositivo de forma remota sin ningún compromiso”.

“En otras palabras, el cliente simplemente realiza un pedido de datos del dispositivo objetivo y NSO controla todos los aspectos del proceso de recuperación y entrega de datos a través de su diseño de Pegasus”, argumentó WhatsApp.

Los documentos judiciales citaron a un empleado de NSO diciendo que “fue nuestra decisión activar (el exploit) usando mensajes de WhatsApp o no”, refiriéndose a uno de los exploits que la compañía ofrecía a sus clientes.

Cuando se le contactó para hacer comentarios, el portavoz de NSO, Gil Lainer, dijo en un comunicado a TechCrunch: “NSO respalda sus declaraciones anteriores en las que detallamos repetidamente que el sistema es operado únicamente por nuestros clientes y que ni NSO ni sus empleados tienen acceso a la inteligencia recopilada. por el sistema”.

“Confiamos en que estos reclamos, como muchos otros en el pasado, serán demostrados erróneamente en los tribunales, y esperamos tener la oportunidad de hacerlo”, dijo Lainer de NSO.

Los tres exploits de NSO apuntaban a usuarios de WhatsApp

Una técnica que utilizó NSO para permitir a sus clientes dirigirse a los usuarios de WhatsApp, descrita en un documento, fue configurar algo que la empresa llamó “servidor de instalación de WhatsApp” o WIS, que WhatsApp llama un “cliente falso”. Se trataba esencialmente de una versión modificada de la aplicación WhatsApp que NSO desarrolló y utilizó para enviar mensajes (incluidos sus exploits maliciosos) a los usuarios habituales de WhatsApp. NSO admitió haber creado cuentas reales de WhatsApp para sus clientes, según uno de los documentos judiciales.

WhatsApp pudo derrotar los exploits “Eden” y “Heaven” de NSO con parches y actualizaciones de seguridad, según un comunicado interno de NSO.

“Anuncio RIP de Eden/Heaven/Hummingbird”, decía un mensaje enviado a los empleados de NSO.

Los documentos judiciales muestran que el exploit Heaven de NSO estuvo activo antes de 2018 y fue diseñado para dirigir los dispositivos de WhatsApp para que se comunicaran con un servidor de retransmisión de WhatsApp malicioso controlado por NSO.

Después de que WhatsApp parchó sus sistemas contra el exploit Heaven de NSO, NSO desarrolló un nuevo exploit llamado “Eden”, que según un empleado de NSO citado en los documentos judiciales, “necesitaba pasar por los servidores de retransmisión de WhatsApp”, que el exploit Heaven había buscado. para evitar. Fue el uso del exploit Eden lo que llevó a WhatsApp a presentar una demanda contra NSO, según una declaración de otro empleado de NSO.

Un tercer exploit desarrollado por NSO, revelado en los documentos, se llamó “Erised”, un exploit llamado “cero clic” que podría comprometer el teléfono de una víctima sin ninguna interacción por parte de la víctima. WhatsApp bloqueó el uso del exploit Erised de NSO en mayo de 2020, varios meses después de que WhatsApp presentara su demanda.

corte de clientes

Otro detalle interesante que surgió esta semana es la admisión por parte de uno de los empleados de NSO depuesto en el curso de la demanda de que Pegasus se utilizó contra la princesa Haya de Dubai, un caso que fue informado por The Guardian y The Washington Post en 2021, y más tarde. por The New Yorker en 2023.

El mismo empleado de NSO dijo que el fabricante de software espía “desconectó” el acceso a Pegasus para 10 clientes, citando el abuso del software espía.

A esta altura del caso legal, WhatsApp solicita al juez que emita sentencia sumaria en el caso, y está a la espera de una decisión.

Mientras tanto, los detalles que surgieron de la demanda de esta semana podrían ayudar a otras personas que han demandado a NSO en otros países, según Natalia Krapiva, asesora legal tecnológica de Access Now, una organización sin fines de lucro que ha investigado algunos casos de abuso cometidos. Eliminamos el software espía de NSO.

“El hecho de que WhatsApp continúe con sus acciones legales finalmente obtiene algunos beneficios”, dijo Krapiva a TechCrunch. “Si bien es cierto que NSO no ha estado compartiendo mucha información (especialmente cosas como códigos Pegasus, lista de clientes, etc.), la información que sí compartieron ya es bastante útil para este caso pero también para casos legales contra NSO en todo el mundo. mundo.”

“Y el hecho de que NSO oculte información también es perjudicial porque también les dificulta presentar una defensa sólida”, dijo Krapiva.