El espionaje "ilimitado" de Pegasus: hace fotos y controla cualquier aplicación de móvil

El programa de espionaje Pegasus permite activar la cámara de un dispositivo móvil para hacer fotos o grabaciones, según especifica el manual de instrucciones del software, al que ha tenido acceso EL PERIÓDICO DE ESPAÑA, que también apunta que el producto de la empresa israelí NSO Group permite el acceso "ilimitado a los terminales, en los que se podrá recopilar de forma remota y encubierta información sobre las relaciones de su objetivo, ubicación, llamadas telefónicas, planes y actividades".

También puede interceptar llamadas y desencriptar información, a la vez que supervisa aplicaciones como por ejemplo Skype, WhatsApp, Viber, Facebook y Blackberry Messenger. En todo momento y a distancia, el cliente que compra Pegasus podrá obtener el posicionamiento de su objetivo mediante GPS, sin que un cambio de tarjeta SIM pueda llegar a frenar el espionaje.

Para infectar el dispositivo móvil y transmitir la información obtenida, Pegasus instala un "agente" o troyano que es compatible con los principales sistemas operativos BlackBerry, Android, iOS (iPhone) y Symbian. Y los datos se envían a servidores Pegasus de manera oculta, de forma comprimida y encriptada.

Un número o un 'email'

El manual de instrucciones de Pegasus especifica que para atacar a un dispositivo móvil solo se requiere un número de teléfono o una dirección de correo electrónico que utilice la persona atacada. Resalta, además, que hay dos formas de inyectar el troyano a los dispositivos móviles atacados. La primera se denomina "Over-the-Air (OTA)", que es mediante un mensaje que se envía de forma remota y encubierta, y que instala el software sin que el dueño se de cuenta." La instalación es totalmente silenciosa e invisible y no puede ser impedida por el objetivo. Esta es la singularidad de NSO, que diferencia significativamente la solución Pegasus de cualquier otra solución disponible en el mercado", destaca el documento.

La segunda manera de infectar los teléfonos sería mediante el envío de un mensaje de texto (SMS) o un correo electrónico, pidiendo al objetivo que lo abra. Un solo clic, planificado o involuntario en el enlace, permitirá que se instale "el agente oculto". "Pese a que el usuario del terminal es el que ha hecho clic en el enlace, este no se dará cuenta de que el software está siendo instalado en su dispositivo", completa el manual.

Un mensaje personalizado

"Las posibilidades de que el objetivo haga clic en el enlace", prosigue el manual, "dependen totalmente del nivel de credibilidad del contenido. La solución Pegasus proporciona una amplia gama de herramientas para componer un mensaje inocente y personalizado para atraer al objetivo a abrir el mensaje", prosigue la guía.

El documento clasifica el material robado como "textual", que incluye entre otros los mensajes de texto (SMS), correos electrónicos, el calendario, el historial de llamadas, mensajería instantánea, la lista de contactos y el historial de navegación; como "audio", que son las llamadas interceptadas, sonidos ambientales, (grabación de micrófono) y otros archivos; y el "visual", que son las fotos de la cámara y capturas de pantalla. También se dispone de "archivos" y de la ubicación del dispositivo.

Pero Pegasus tiene una utilidad que denomina "activa", que consiste en utilizar los dispositivos móviles para hacer fotografías y grabaciones en cualquier momento. De esta forma el cliente puede interceptar de forma directa las llamadas que reciba su objetivo, grabar el sonido ambiental utilizando el micrófono, tomar fotografías y realizar capturas de pantalla.

Un sistema de almacenamiento

Los datos recopilados se almacenan encriptados en un lugar oculto del dispositivo. Este sistema de almacenamiento está configurado para que no supere más del 5% del espacio libre disponible en el terminal: "En caso de que el búfer haya alcanzado su límite, los datos más antiguos se eliminan y los datos nuevos se almacenan. Una vez que se han transmitido los datos, el contenido se elimina por completo".

El software debe mantenerse en el teléfono infectado, por lo que necesitará actualizaciones, y solo será desinstalado cuando deje de proporcionar información valiosa para el cliente. "El sistema Pegasus contiene un mecanismo de autodestrucción para los 'agentes' instalados. En general, entendemos que es más importante que la fuente no sea expuesta", concluye el manual, cuyo contenido adelantó La Sexta.