Entregable Previo 2 - Javier Mendoza (2)

Vista previa del material en texto

Cuestionario.
1. ¿Qué compañía desarrolla el software “Pegasus”? ¿Con qué condición y a quién se vende este desarrollo?
Este software fue creado por la firma israelí NSO Group y lo vende únicamente a gobiernos para espiar exclusivamente a bandas criminales o terroristas. 
2. ¿Cuál es el costo de la licencia de Pegasus?
Para espiar a 10 usuarios de iPhone con Pegasus, el fabricante del software cobra unos 650,000 dólares, además de la cuota de instalación de 500,000 dólares. En México, al menos tres dependencias han gastado casi 80 millones de dólares en estos programas de espionaje desde 2011: la Procuraduría General de la República (PGR), el Centro de Investigación y Seguridad Nacional (CISEN) y la Secretaría de la Defensa Nacional.
3. ¿Qué permite hacer el software Pegasus a través del teléfono de la víctima?
El software Pegasus permite monitorear a través de llamadas, mensajes de texto, correos electrónicos, contraseñas, contactos, calendarios y tener acceso a todos los archivos guardados en el dispositivo. Puede incluso utilizar el micrófono y la cámara de los teléfonos para realizar vigilancia; convirtiendo el teléfono de la persona vigilada en un micrófono oculto. El programa también otorga acceso a mensajes de texto, así como datos de otras aplicaciones como Gmail, WhatsApp, Skype, Facebook, Telegram. Pueden escuchar llamadas realizadas por teléfono, a través de WhatsApp o Viber, y permisos para grabar activa o pasivamente utilizando el micrófono y la cámara del dispositivo.
4. ¿Qué papel juega Ahmed Mansoor en el descubrimiento público de Pegasus? Con base en el whitepaper de Lookout: https://info.lookout.com/rs/051- ESQ475/images/pegasus-exploits-technical-details.pdf conteste:
Fue una victima del uso de este software debido a sus acciones como activista a favor de la democracia en los Emiratos Árabes Unidos, como consecuencia de sus protestas altos mandos del gobierno lo encarcelaron y después de algunos años usaron el software Pegasus para espiarlo. Por este suceso es que el software fue descubierto públicamente al representar un gran problema para la privacidad de las personas, lo que pone en peligro la libertad de expresión y la diversidad de ideas tanto políticas como religiosas.
5. ¿Qué tipo de ataque se usa para explotar la vulnerabilidad del explorador Safari en la etapa 1?
Phishing.
6. Seleccione la respuesta más apropiada acerca de en qué consiste dicha vulnerabilidad y para qué se usa por Pegasus
a. Se trata de un método de marcado de buffers que permite desasignar objetos a 
través del Garbage Collector y hacer daño silencioso al sistema operativo
b. Se trata de una vulnerabilidad del Webkit de Safari, que permite engañar a un proceso llamado Garbage Collector, para permitir que exista un espacio de memoria no detectable donde pueda ejecutarse código nativo arbitrario
c. Se trata de la instalación de una pila falsa de memoria que el código usa para hacer no válidas las referencias del navegador Safari y así enviar a sitios apócrifos.
7. Cuál es el principal objetivo de la etapa 2
a. Ubicar el sector de memoria donde está alojado el Kernel para corromperlo
b. Ubicar qué sistema operativo tiene el dispositivo e instalar la versión de Pegasus más compatible
c. Obtener las referencias de reloj del dispositivo.
8. Brevemente explique en qué consiste el mecanismo de persistencia
El mecanismo de persistencia se basa en una combinación de dos problemas distintos, el primer problema es la presencia del servicio rtbuddyd dentro de un plist que se inicia en el arranque del dispositivo, como resultado, cualquier binario que se puede copiar en la ruta especificada (/usr/libexec/rtbuddyd) se ejecutará en el momento del arranque con los argumentos especificados en el plist.
El segundo problema es una vulnerabilidad dentro del binario JavaScriptCore la cual se aprovecha para ejecutar el binario jsc (JavaScriptCore) copiándolo en la ruta /usr/libexec/rtbuddyd. El código JavaScript arbitrario se puede ejecutar creando un enlace llamado --early-boot que apunte a un archivo que contiene el código que se ejecutará en el momento del arranque. Pegasus luego explota una mala conversión en el binario jsc para ejecutar código sin firmar y volver a explotar el kernel.
2