Hace unos días, los investigadores del Proyecto Cero de Google publicaron un artículo en el blog en el que detallaban una explotación del iPhone que hacía que el dispositivo fuera vulnerable a sitios web maliciosos. Aprovechando esta vulnerabilidad de iOS, los atacantes podrían obtener acceso de raíz a los dispositivos de los usuarios de iPhone, permitiéndoles robar información confidencial, como fotos, mensajes, ubicación casi en tiempo real y contraseñas guardadas.
Visitar el sitio web malicioso era suficiente para que un iPhone se infectara con este hack, y según los investigadores que descubrieron y publicaron los detalles sobre esta hazaña, estos sitios web eran visitados por miles de víctimas desprevenidas cada semana.
La vulnerabilidad se encontró en varias versiones de iOS, incluyendo iOS 10 hasta iOS 12. Apple fue capaz de cerrar la vulnerabilidad en iOS 12.1.4 en 2 2019 en una actualización de software después de que los investigadores de Google compartieron la vulnerabilidad que habían encontrado en su software. Sin embargo, según los investigadores, los sitios web ya habían estado pirateando iPhones durante al menos dos años antes de que Apple cerrara la vulnerabilidad de su software.
Explotación utilizada por China para atacar a las minorías
Los investigadores de Google dijeron que no saben cómo se está utilizando esta vulnerabilidad y quién la utiliza. Sin embargo, pocos días después de que los investigadores del Proyecto Cero de Google compartieran públicamente los detalles de la vulnerabilidad, TechCrunch informa de que la misma vulnerabilidad estaba siendo utilizada por China para atacar a los musulmanes uigures en su país. Las fuentes del sitio web afirman que los sitios web maliciosos formaban parte de un ataque respaldado por el Estado contra la minoría musulmana del país que reside en la región autónoma china de Xinjiang.
El ataque habría sido parte de una mayor represión contra la comunidad musulmana uigur por parte del gobierno autoritario chino. Al igual que en los últimos años, China ha estado atacando a la comunidad minoritaria deteniéndola en campos de internamiento.
Una vez que un iPhone fue infectado, el gobierno chino supuestamente podía mirar los datos privados del objetivo, incluyendo sus mensajes, contraseñas y ubicación.
Mientras que el objetivo principal de los sitios web maliciosos era atacar a los musulmanes uigures, el hacker también atacaba a los no uigures, ya que los sitios web estaban indexados en Google Serach y eran accesibles a todo el mundo. Esto llevó al FBI a pedir a Google que eliminara estos sitios web de su motor de búsqueda.
La seguridad del software de Apple ha experimentado un declive en los últimos años, ya que hemos visto múltiples vulnerabilidades en los sistemas iOS y macOS. En 2017 Apple lanzó macOS con un error importante que permitía a cualquiera iniciar sesión como administrador sin tener que introducir la contraseña de root. Más recientemente, Apple cometió un error sin precedentes al reintroducir una vulnerabilidad de iOS que había cerrado en versiones anteriores del sistema operativo. Este error permitió a los hackers liberar iOS 12.4 jailbreak al público.
Eso no quiere decir que sea malo, ya que Apple ha ampliado recientemente su programa de recompensas iOS y ha comenzado a ofrecer recompensas de hasta un millón de dólares a cualquiera que encuentre y reporte vulnerabilidades a la empresa. Apple también ha ampliado el programa a macOS.
Marcos Robson es redactor autónomo de Tech&Crumb y redacta los temas de seguridad, privacidad, libertad de información y cultura hacker (WikiLeaks y criptografía). Actualmente trabaja en en Nueva York (Wired).
