Así funciona Predator, el Spyware que tuvo en jaque a varios gobiernos

Bajo el nombre de PREDATOR y en honor a la famosa figura del mundo del cine, se le conoce a un spyware cuyo funcionamiento y existencia ha sido revelado desde no hace mucho tiempo y que ha afectado a personalidades de varias partes del mundo. Es más, tú mismo o tu misma, sin quererlo podrías tener un teléfono móvil afectado por este software malicioso.

El Spyware instalado en los ordenadores y terminales móviles de los políticos son algo muy sensible de cara a la seguridad nacional de cualquier país. No solo permiten sacar conversación de acuerdos realizados en privado, sino también realizarles chantaje filtrando información privada que pueden destruir por completo su reputación. Todo ello puede llegar a manipular incluso procesos de elección de candidatos en países democráticos e incluso llegar a provocar movimientos de subversión que pueden llegar a derrocar gobiernos. De ahí que se hayan convertido en una preocupación con mayúsculas de cara a la seguridad para muchos países.

¿Qué es PREDATOR y cuáles fueron los países afectados?

A través de un análisis publicado por la firma de seguridad Talos el pasado jueves, hemos podido saber detalles sobre PREDATOR. El cual es un spyware desarrollado por Cytrox. Se trata una empresa que forma parte de otra mucho más grande llamada Intellexa. La amenaza de este spyware fue detectada por el grupo de análisis de amenazas de Google, cuyo trabajo es hacer seguimiento de los ataques a la seguridad llevados a cabo por los diferentes estados en todo el mundo. Se trata de una aplicación que usa cinco errores de seguridad que le da acceso directo al contenido generado en las terminales Android de varios políticos y personalidades importantes.

Su radio de acción en el mundo es variado. De sus efectos del país que tenemos más conocimiento es Egipto. En concreto, entre las víctimas conocidas de este spyware se encuentra el líder de la oposición en dicho país, Ayman Nour, así como un periodista influyente en el mismo. El resto de naciones afectadas son: Armenia, Grecia, Indonesia, Madagascar, Omán, Arabia Saudita y Serbia.

¿Cómo funciona este spyware?

El objetivo principal de PREDATOR y ALIEN son aquellas protecciones que lleva a cabo el componente SELINUX. El cual se encarga de hacer de cancerbero en la gran mayoría de sockets del sistema. Y por tanto guarda los diferentes canales de comunicación entre los diferentes procesos que se ejecutan en Android. Su objetivo son los audios grabados por los usuarios de las terminales y lo que hacen es almacenar cada uno de ellos desde la RAM al almacenamiento del sistema.

¿La forma de hacerlo? Inyectar una nueva dirección en la UID en los procesos y hacer que este realice una transición a otro contexto, para confundir a SELinux  y que se asigne otro privilegio de acceso a dichos procesos y a la información a la que acceden. Con ello PREDATOR consigue al que se le asignen otros privilegios a cada uno de ellos.

Sin embargo, no son los dos únicos componentes, sino para que todo el esquema funcione al 100% hay otros dos procesos participantes que son clave para el que el software espía tenga éxito.

• El primero de ellos es Tcore, el cual se encarga de realizar las funciones de spyware principales de PREDATOR y tiene la capacidad de captar información de aplicaciones de mensajería instantánea como Signal, WhatsApp o Telegram.
• El segundo componente es Kmem, el cual le da acceso al Spyware al direccionamiento protegido sobre el que el sistema operativo ejecuta sus procesos. Lo que le permite a PREDATOR y ALIEN hacer su trabajo confundiendo a Android para que los confunda con procesos son del propio sistema.

El segundo punto es importante, ya que es lo que invisibiliza por completo al Spyware. Lo que ha permitido que durante mucho tiempo haya tenido éxito en obtener la información privada de las diferentes víctimas.