El cibervirus israelí que burló la seguridad española y atacó el Ministerio de Transformación Digital

La inteligencia Israelí cuenta con una ciberarma que no precisa de que el usuario abra un enlace sospechoso ni responda a un mensaje fraudulento. Le basta con que la víctima navegue por un portal de noticias o abra una aplicación meteorológica para que el virus se ponga en marcha. Instantáneamente, una publicidad automatizada aparece en un espacio de la pantalla y bajo esta inocente fachada, el malware inyecta un código malicioso en el dispositivo. De esta manera, el emisor del virus posee un acceso completo a los datos del mismo dispositivo.

Una reciente investigación internacional liderada por The Citizen Lab de la universidad de Toronto ha destapado lo que ha pasado a denominarse como AdFection. Se trata de una técnica pionera de ciberespionaje que permite infectar dispositivos de forma "invisible" mediante la simple visualización de anuncios en páginas web y aplicaciones comunes, situando a España en el epicentro de la amenaza. Según el informe, la red israelí concentró una actividad inusualmente intensa en la península Ibérica y el Estrecho de Gibraltar. No solo eso, también logró colar anuncios con este código de ataque en las redes del Ministerio para la Transformación Digital y de la Función Pública.

Anatomía de "AdFection"

Hasta la fecha, la mayoría de los ataques atribuidos a la industria del spyware –como los precedentes de Pegasus o las primeras versiones de Candiru detectadas en Cataluña durante el caso CatalanGate– requerían algo de ingeniería social para inducir a la víctima a interactuar con un enlace. Ahora ya no es necesario. "AdFection" cambia las reglas del juego al instrumentalizar la arquitectura global del Real-Time Bidding (RTB). Esto es, el sistema de anuncios de publicidad que gestiona cientos de miles de millones de impresiones diarias en todo el planeta.

Piense el lector en la publicidad personalizada que le aparece en internet. Cuando entra en una web o app, su terminal envía una "puja" con los metadatos específicos (dirección IP, identificador publicitario móvil MAID, ubicación y características del sistema). A través de su plataforma MyDSP o de intermediarios autorizados, una compañía gana la "subasta" y es esta la que muestra un banner en el dispositivo del objetivo preseleccionado.

El anuncio de AdFection contiene una etiqueta que conecta con los servidores de Discover-Tech. Si el visitante coincide con los parámetros fijados por el atacante, el servidor devuelve código JavaScript malicioso; si se trata de un usuario ordinario o de un escáner de seguridad automatizado, devuelve una respuesta vacía (0 bytes) o un anuncio inofensivo. Este sistema lo hace prácticamente indetectable.

"Es una pesadilla técnica porque demuestra que los dispositivos pueden ser infectados por empresas de programas espía simplemente al visualizar un anuncio en una página web o aplicación, de forma totalmente silenciosa", advirtió Wolfie Christl, investigador y coautor del informe.

El impacto en España

Este es el virus que ha proliferado de manera particularmente inusual en la zona sur de nuestro país. Y es que la investigación, que analizó los flujos globales de tráfico de Discover-Tech, localizó una actividad inusualmente densa de estas operaciones sobre la península Ibérica y el área del Estrecho de Gibraltar.

El hallazgo de mayor repercusión para la seguridad nacional fue la identificación de impactos publicitarios con scripts de ataque en terminales conectados a las redes del Ministerio para la Transformación Digital y de la Función Pública. Aunque la recepción de una impresión publicitaria maliciosa no equivale de forma automática a una infección consumada, esto confirma que la red del ministerio estuvo expuesta al vector de intrusión militar.

El hecho de que el ataque alcanzara al ministerio rector de la política tecnológica del Estado español no hace sino evidenciar la fragilidad de los perímetros corporativos públicos frente a un vector que viaja mezclado con el tráfico web general.