- El malware Predator puede desactivar las alertas visuales de uso de cámara y micrófono en iOS.
- Utiliza acceso a nivel de kernel para inyectar código en procesos críticos del sistema.
- La detección se complica al manipular procesos del sistema y usar técnicas de ocultación avanzadas.
Un sofisticado malware conocido como Predator ha sido identificado operando en dispositivos iOS, eludiendo las medidas de seguridad diseñadas para proteger la privacidad del usuario. Este spyware, desarrollado por Intellexa y Cytrox, es capaz de acceder a la cámara y al micrófono del dispositivo sin activar las alertas visuales que Apple introdujo en iOS 14. La preocupación principal radica en su capacidad para operar de forma sigilosa, manteniendo a los usuarios completamente ajenos a la vigilancia constante de sus actividades.
Eludir las alertas de privacidad en iOS
Predator emplea una técnica avanzada para sortear los indicadores de privacidad de iOS. En lugar de explotar una vulnerabilidad nueva, requiere acceso previo a nivel de kernel para poder inyectar código en procesos vitales del sistema. La investigación de Jamf Threat Labs detalla cómo el spyware se engancha al proceso SpringBoard, específicamente al método _handleNewDomainData: dentro de la clase SBSensorActivityDataProvider. Esta manipulación impide que las notificaciones verdes o naranjas aparezcan cuando la cámara o el micrófono están en uso, dejando al usuario sin la advertencia habitual.
Técnicas de ocultación y módulos de vigilancia
El malware no se limita a ocultar las alertas; también incluye módulos específicos para la vigilancia. El módulo HiddenDot se encarga de suprimir los indicadores visuales, mientras que el CameraEnabler sortea las comprobaciones de permisos de cámara mediante la manipulación de código ARM64 y la redirección de Pointer Authentication Code (PAC). Esto permite al malware acceder a funciones internas no expuestas públicamente y redirigir la ejecución sin activar las alertas de seguridad estándar de iOS. Adicionalmente, Predator captura audio de llamadas VoIP a través de un módulo separado, que, aunque no suprime directamente los indicadores del micrófono, utiliza otras técnicas de sigilo para pasar desapercibido.
Dificultades en la detección y persistencia
La arquitectura de Predator complica enormemente los métodos de detección convencionales. El spyware inyecta código en procesos críticos como SpringBoard y mediaserverd, utilizando ganchos basados en excepciones Mach en lugar de los ganchos en línea habituales. Esto hace que el software de protección de puntos finales y los cortafuegos sean insuficientes para identificar la actividad maliciosa. Los indicadores de comportamiento, como la creación inesperada de archivos de audio o la falta de notificaciones de actividad de sensores, son señales clave que los equipos de seguridad deben monitorizar. La observación de mapeos de memoria, puertos de excepción y cambios en el estado de los hilos en los procesos del sistema son esenciales para detectar una posible intrusión.
Acceso a nivel de sistema y IA
El diseño de Predator demuestra cómo el spyware comercial puede aprovechar herramientas de inteligencia artificial y acceso a nivel de sistema para llevar a cabo una vigilancia sofisticada en dispositivos iOS. La persistencia del malware se basa en técnicas que requieren una comprensión profunda de las anomalías sutiles en la actividad de los sensores. Los usuarios y los equipos de seguridad deben estar al tanto de estas técnicas y monitorizar activamente sus dispositivos para detectar cualquier signo de compromiso. La capacidad de Predator para operar sin ser detectado subraya la necesidad de una vigilancia constante y herramientas de seguridad actualizadas. En este contexto, la preocupación por la privacidad en dispositivos móviles ha generado debates sobre cómo Apple está facilitando la conexión de dispositivos de terceros, como se analiza en el artículo sobre las nuevas políticas de Apple para dispositivos de terceros en la UE.
Además, la sofisticación de Predator resalta la importancia de la seguridad en el desarrollo de software. Los investigadores de seguridad se enfrentan constantemente a nuevos desafíos para detectar y mitigar amenazas, incluso con el auge de la inteligencia artificial. Meta ha negado recientemente el uso de pornografía para entrenar IA. Puedes profundizar en este tema leyendo sobre las afirmaciones de Meta sobre el uso de pornografía para entrenar su IA.
La necesidad de una vigilancia constante es crucial para mantener la seguridad de los usuarios.