Pegasus Spyware

¿Qué es Pegasus Spyware?

Pegasus es el software espía (spyware) más sofisticado y peligroso conocido públicamente. Desarrollado por la empresa israelí NSO Group, representa el estado del arte en tecnología de vigilancia digital, combinando múltiples exploits zero-day, técnicas anti-forenses avanzadas, y capacidades de control total del dispositivo.

A diferencia del malware común, Pegasus es una herramienta de espionaje de grado militar vendida exclusivamente a gobiernos y agencias de inteligencia. Su sofisticación es tal que puede interceptar comunicaciones supuestamente “seguras” (WhatsApp, Signal, Telegram) leyendo los mensajes directamente en el dispositivo infectado, antes del cifrado o después del descifrado.

El caso más resonante es el de WhatsApp (Meta) contra NSO Group, por el ataque zero-click que en 2019 intentó infectar aproximadamente 1.400 dispositivos objetivo —así lo formula la demanda: intento, no instalación consumada—. Conviene contarlo entero, porque la cifra que circula ya no está en pie:

• Mayo de 2025: un jurado federal del Distrito Norte de California fija unos 444.000 dólares de daños compensatorios y unos 167 millones de daños punitivos.
• Octubre de 2025: la jueza Phyllis Hamilton considera excesivos los punitivos y los reduce a 4.002.471 dólares —exactamente nueve veces los 444.719 de daños compensatorios—, apreciando que eludir el cifrado de extremo a extremo causa un «daño irreparable» a la aplicación. La orden de prohibición permanente se dicta después, en noviembre, junto al fallo final: conviene no fundir las dos resoluciones al citarlas (The Record, SecurityWeek).

Citar los 167 millones como condena vigente es un error de bulto, y de los que se ven: el tribunal los dejó en una cuadragésima parte cinco meses después. Lo que de verdad sobrevive del caso no es el importe, sino la prohibición judicial, que es lo que ata a la empresa hacia delante.

Y un matiz de procedimiento que se cita mal a menudo: la responsabilidad de NSO no la declaró el jurado. Se resolvió antes por el tribunal; al jurado le correspondió únicamente cuantificar los daños. Escribir «un jurado condenó a NSO» invierte quién decidió qué.

Análisis completo del caso NSO Group vs WhatsApp

Historia y evolución de Pegasus

Cronología del spyware más peligroso

Víctimas documentadas

El Proyecto Pegasus (investigación de 2021 por 17 medios internacionales) reveló que entre los objetivos de vigilancia estaban:

• Periodistas: Más de 180, incluyendo colaboradores de Financial Times, CNN, The New York Times
• Activistas: Defensores de derechos humanos en México, Marruecos, India
• Políticos: Presidentes, primeros ministros, ministros de al menos 10 países
• Abogados: Defensores en casos de derechos humanos
• Empresarios: Ejecutivos de alto nivel

Cómo funciona Pegasus: análisis técnico

Vectores de infección

Pegasus ha evolucionado a través de múltiples generaciones de exploits:

Ejemplo técnico: Exploit WhatsApp 2019

## Flujo de ataque documentado

1. Atacante → [Llamada VoIP WhatsApp] → Víctima
                                              ↓
2. Procesamiento de llamada entrante (sin responder)
                                              ↓
3. Desbordamiento de búfer en la **pila VoIP** de WhatsApp (CVE-2019-3568),
   por una serie de paquetes RTCP especialmente preparados
                                              ↓
4. RCE (Remote Code Execution) con privilegios de WhatsApp
                                              ↓
5. Escalada de privilegios, instalación y borrado de rastros
   (pasos SIN fuente primaria localizada: el registro CVE
   acredita la ejecución de código, no lo que viene después)
                                              ↓
6. Víctima no ve nada en pantalla

Lo crítico: No hay notificación, no hay alerta, no hay entrada en registro de llamadas.

Capacidades documentadas de Pegasus

Técnicas anti-forenses

Pegasus está diseñado para ser invisible:

## Técnicas documentadas de evasión

1. Rootkit avanzado (kernel-level)
   - Oculta procesos del system monitor
   - Oculta archivos del filesystem
   - Oculta conexiones de red

2. Sin persistencia en determinadas versiones de iOS
   - En las versiones analizadas por Amnesty, la carga podía
     no recuperarse del sistema de ficheros no volátil
   - Eso NO equivale a ausencia de artefactos: los logs
     conservaron procesos y ubicaciones de binarios en disco
   - Dificulta el análisis post-mortem, no lo impide

3. Self-destruct
   - Auto-eliminación si detecta análisis
   - Borra logs y artefactos
   - Puede "suicidarse" tras roaming internacional

4. Limpieza de logs
   - Elimina entradas en syslog
   - Modifica timestamps (anti-forensics)
   - Borra crash reports

5. Comunicación encubierta
   - C2 vía HTTPS legítimo (mimicry)
   - Usa CDNs populares (Amazon, Azure)
   - Traffic shaping para parecer normal

Cómo detectar Pegasus: perspectiva del perito forense

Como perito informático, he desarrollado una metodología específica para detectar indicadores de compromiso por Pegasus:

Herramientas forenses especializadas

1. Mobile Verification Toolkit (MVT)

## Instalación
pip3 install mvt

## Análisis de backup iOS
mvt-ios check-backup --output /casos/cliente-001/ /backups/iphone-backup/

## Buscar IOCs conocidos de Pegasus
mvt-ios check-backup --iocs pegasus.stix2 /backups/iphone-backup/

## Generar timeline
mvt-ios check-backup --output results/ backup/
# MVT escribe la cronología por su cuenta: timeline.csv dentro del directorio de salida.
# No existe un flag --timeline.

MVT (desarrollado por Amnesty International) es la herramienta de referencia para detectar Pegasus en dispositivos iOS y Android.

2. Análisis de logs del sistema

## iOS: Extracción de sysdiagnose
## Conectar iPhone → Settings → Privacy → Analytics →
## Analytics Data → sysdiagnose_YYYY.MM.DD_*.tar.gz

## Buscar procesos sospechosos
grep -r "NSO" sysdiagnose/
grep -r "pegasus" sysdiagnose/
grep -r "trident" sysdiagnose/  # Nombre código exploit 2016

## Análisis de crashlogs
cd sysdiagnose/logs/CrashReporter/
grep -l "SpringBoard" *.ips | xargs cat | grep -A 10 "Exception"

## Conexiones de red sospechosas
# NO buscar rangos de IP «de memoria»: los indicadores de red se toman de los
# IOC publicados por Amnesty Tech y Citizen Lab, que MVT consume en formato STIX2.
# (El rango 185.220.101.0/24, que circula como si fuera C2 de NSO, es en realidad
#  un bloque conocido de nodos de SALIDA de Tor: buscarlo produce falsos positivos.)
mvt-ios check-backup --iocs pegasus.stix2 --output results/ backup/

3. Indicadores de compromiso (IOCs)

No se publica aquí una lista estática de indicadores, y conviene explicar por qué. Una lista de indicadores copiada de un artículo no es fiable: al contrastar doce valores que circulan como «IOCs conocidos de Pegasus» contra el paquete pegasus.stix2 que MVT recomienda descargar, fijado a un commit concreto del repositorio de investigaciones de Amnesty Tech —1.549 objetos indicator—, solo uno de los doce aparecía. Uno de los que no aparecían era 203.0.113.42, que además no puede ser un C2 observado: pertenece a TEST-NET-3, un rango que la RFC 5737 reserva para ejemplos y documentación.

Los indicadores se descargan de la fuente y se citan con su versión, nunca se copian de un artículo:

mvt download-iocs
mvt-ios check-backup --output results/ backup/

Y si el encargo exige un paquete concreto y versionado:

mvt-ios check-backup --iocs pegasus.stix2 --output results/ backup/

Que un proceso figure en un paquete STIX no convierte cualquier coincidencia de nombre en prueba de compromiso. Lo que se lleva al informe es lo que MVT emite: patrón, tipo de artefacto, fuente, versión del paquete y contexto de la coincidencia, más la evaluación de si esa coincidencia es compatible con un compromiso y con qué falsos positivos.

Señales de advertencia para usuarios

Aunque Pegasus es casi invisible, algunos síntomas pueden indicar compromiso:

• ⚠️ Batería se drena inusualmente rápido (grabación constante)
• ⚠️ Dispositivo se calienta sin uso intensivo
• ⚠️ Datos móviles se consumen sin explicación (exfiltración)
• ⚠️ Comportamiento errático (apps se abren solas, reinicios)
• ⚠️ SMS extraños con enlaces (generación 1, menos común ahora)

Protocolo de análisis forense

Cuando un cliente sospecha infección por Pegasus:

Caso histórico: NSO Group vs WhatsApp (2025)

Los hechos

En mayo de 2019, investigadores de WhatsApp descubrieron que NSO Group había explotado una vulnerabilidad zero-click (CVE-2019-3568) para intentar infectar aproximadamente 1.400 dispositivos objetivos.

La técnica:

Atacante envía paquetes RTCP preparados → desbordamiento de búfer
en la pila VoIP de WhatsApp → ejecución remota de código en el
contexto de la aplicación → la llamada se cancela antes de aparecer
en pantalla

(La escalada de privilegios y la instalación posterior no constan en
el registro CVE: son pasos SIN fuente primaria localizada.)

La demanda judicial

WhatsApp demandó a NSO en octubre de 2019 en tribunal federal de Estados Unidos por:

1. Violación de CFAA (Computer Fraud and Abuse Act)
2. Violación de la CDAFA (California Comprehensive Computer Data Access and Fraud Act)
3. Breach of contract (Términos de servicio de WhatsApp)
4. Unjust enrichment

El veredicto del jurado (mayo 2025) y su corrección (octubre 2025)

El jurado determinó, y el tribunal revisó después:

Lo que de verdad queda del caso: no es el importe —que el tribunal redujo cinco meses después de 167.254.000 a 4.002.471 dólares, aproximadamente una parte de cada 41,8— sino la prohibición judicial permanente de atacar a usuarios de WhatsApp, y el hecho de que un tribunal estadounidense declarase responsable al fabricante del programa, no solo a quien lo usó.

Análisis completo del caso judicial

Marco legal y ético

¿Es legal Pegasus?

Depende del uso:

✅ Legal (en teoría):

• Uso por fuerzas de seguridad con orden judicial
• Investigación de terrorismo y crimen organizado grave
• Autorización de juez competente

❌ Ilegal:

• Espionaje sin autorización judicial
• Vigilancia masiva indiscriminada
• Uso contra periodistas, activistas, abogados sin causa justificada
• Exportación de productos de cibervigilancia al margen del régimen de control y autorización aplicable. La Ley 53/2007 obliga a denegar la operación cuando existan indicios racionales de uso «con fines de represión interna» (art. 8); lo que crea la ilicitud es incumplir ese régimen, no la etiqueta política del comprador

Legislación española aplicable

Importante: Incluso con autorización judicial, el uso de Pegasus debe cumplir principios de proporcionalidad, necesidad y especialidad. La simple gravedad del delito no justifica automáticamente su uso.

Casos españoles conocidos

• 2022: CatalanGate: Citizen Lab identificó 63 personas que fueron objetivo o mostraron infección con Pegasus; en al menos 51 la infección quedó confirmada por análisis forense. La distinción entre intento y compromiso acreditado es exactamente lo que un informe pericial tiene que sostener
• 2022: Teléfonos de Pedro Sánchez (presidente) y Margarita Robles (ministra Defensa) comprometidos
• 2021: Ciudadanos catalanes denuncian espionaje masivo

Cómo protegerse de Pegasus

Medidas técnicas

1. **Mantener sistema operativo actualizado**
   - iOS/Android con últimos parches de seguridad
   - Activar actualizaciones automáticas

2. **Activar Lockdown Mode (iOS 16+)**
   - Settings → Privacy & Security → Lockdown Mode
   - Desactiva funciones susceptibles de exploit

3. **Reiniciar dispositivo diariamente**
   - Pegasus pierde persistencia tras reinicio (algunos modelos)
   - No es solución definitiva, pero dificulta operación

4. **Evitar perfiles de alto riesgo**
   - Si eres periodista/activista en país represivo
   - Usar dispositivo "quemable" para comunicaciones sensibles

5. **Auditorías forenses periódicas**
   - Análisis profesional cada 3-6 meses
   - Especialmente si notas comportamientos extraños

Lockdown Mode: La respuesta de Apple

En respuesta directa a Pegasus, Apple introdujo Lockdown Mode en iOS 16 (2022):

Restricciones activadas (cambian con cada versión del sistema: la lista vigente está en la página de Apple, y a agosto de 2026 Mensajes permite «determinados vídeos, imágenes y archivos de audio»):

• Bloquea la mayoría de tipos de adjunto en Mensajes
• Deshabilita previsualizaciones de enlaces
• Bloquea invitaciones FaceTime de desconocidos
• Desactiva JavaScript JIT en Safari
• Bloquea conexiones USB en modo bloqueado
• Desactiva perfiles de configuración

Análisis forense de Lockdown Mode

Pegasus en peritaje informático

Cuándo sospecho Pegasus en un caso

Como perito, considero posible presencia de Pegasus cuando:

✅ El cliente es perfil de alto valor:

• Periodista investigando corrupción
• Activista de derechos humanos
• Abogado en casos sensibles
• Opositor político
• Ejecutivo con información comercial valiosa

✅ Hay evidencia circunstancial:

• Información confidencial “filtrada” sin explicación
• Adversarios muestran conocimiento de comunicaciones privadas
• Sincronía temporal entre conversaciones privadas y acciones de terceros

✅ El dispositivo muestra anomalías técnicas:

• Consumo de batería inexplicable
• Datos móviles elevados sin justificación
• Avisos de Apple/Google sobre “ataque patrocinado por estado”

Informe pericial tipo

Mi informe en casos de sospecha de Pegasus incluye:

## INFORME PERICIAL: ANÁLISIS FORENSE DISPOSITIVO MÓVIL
## Caso: [ID]/[Año] - Posible infección Pegasus

### 1. OBJETO DEL PERITAJE
Determinar si el dispositivo iPhone modelo [X] del cliente
ha sido comprometido con software de espionaje avanzado

### 2. METODOLOGÍA
- Análisis con Mobile Verification Toolkit (MVT)
- Adquisición elegida según modelo, SoC, versión de iOS y estado de bloqueo,
  con la herramienta, su versión, los cambios que introduce y sus
  limitaciones documentados en el informe
- Correlación con IOCs publicados por Amnesty Tech
- Análisis de logs del sistema (sysdiagnose)
- Revisión de tráfico de red capturado

### 3. HALLAZGOS
- [IOC-ID] Coincidencia con el indicador STIX [patrón], fuente
  [repositorio/versión], artefacto [ruta o base], fecha [UTC]
- Evaluación de si la coincidencia es compatible con un compromiso,
  con sus falsos positivos y sus limitaciones declarados

### 4. CONCLUSIONES
Con grado de certeza [ALTO/MEDIO/BAJO]:
El dispositivo presenta indicadores compatibles con
infección por Pegasus spyware, específicamente versión...

### 5. CADENA DE CUSTODIA
[Hashes SHA-256, logs de acceso, testimonios]

### 6. ANEXOS
- Anexo I: IOCs completos
- Anexo II: Output completo de MVT
- Anexo III: Documentación técnica NSO Group

Relación con otros conceptos

• Zero-Day: Pegasus explota múltiples vulnerabilidades zero-day
• WhatsApp Forense: Análisis de dispositivos comprometidos vía WhatsApp
• Cadena de Custodia: crítica en casos de spyware para documentar integridad y trazabilidad
• Cifrado Extremo-Extremo: Por qué no protege contra spyware local

Conclusión

Pegasus representa la cumbre de la tecnología de vigilancia digital. Su sofisticación es tal que incluso gigantes tecnológicos como Apple reconocen la dificultad de defenderse completamente contra él.

Como perito informático forense, enfatizo tres puntos cruciales:

1. Detección requiere especialización: No es detectable por antivirus comerciales
2. Evidencia puede ser efímera: Técnicas anti-forenses dificultan análisis post-mortem
3. Contexto legal es fundamental: el uso no autorizado de spyware puede integrar distintos delitos según la conducta, el autor, la víctima y la jurisdicción. La tipificación y la gravedad no se deducen de la sola ausencia de orden judicial: el tipo básico del art. 197.1 CP prevé prisión de uno a cuatro años, que el art. 33.3.a clasifica como pena menos grave

Si sospechas que tu dispositivo está comprometido con Pegasus, contacta inmediatamente con un perito informático especializado en análisis forense móvil.

Referencias y fuentes

1. Citizen Lab. Hide and Seek: Tracking NSO Group’s Pegasus Spyware to Operations in 45 Countries, 2018 — los 45 países son donde se detectaron operadores por escaneo de infraestructura, no países con víctimas confirmadas. citizenlab.ca
2. Amnistía Internacional. Massive data leak reveals Israeli NSO Group’s spyware used to target activists, journalists, and political leaders globally, 2021 — la filtración contiene números seleccionados como posibles objetivos; la infección solo se acredita con análisis forense del dispositivo. amnesty.org
3. Mobile Verification Toolkit (MVT) — herramienta de Amnesty Tech para el análisis de copias de seguridad y sistemas de ficheros de iOS y Android. github.com/mvt-project/mvt
4. WhatsApp Inc. v. NSO Group (Distrito Norte de California): el tribunal resolvió la responsabilidad por summary judgment en diciembre de 2024 y el juicio ante jurado de mayo de 2025 se limitó a cuantificar daños; la resolución de 17 de octubre de 2025 (docket 802) redujo los punitivos y concedió la moción, y la orden judicial permanente —permanent injunction, no una medida cautelar, que por definición es temporal y provisional (art. 726.2 LEC)— se dictó el 12 de noviembre (docket 809), junto al fallo final. The Record · SecurityWeek
5. Código Penal, art. 197 (descubrimiento y revelación de secretos) y art. 197 bis (acceso ilícito a sistemas). boe.es
6. LECrim, arts. 588 ter a 588 septies (interceptación de comunicaciones y registro de dispositivos). Como regla exigen resolución judicial motivada, pero el art. 588 ter d.3 contempla que «en caso de urgencia» pueda ordenarla el Ministro del Interior o el Secretario de Estado de Seguridad en investigaciones sobre bandas armadas o terrorismo, con comunicación judicial inmediata y confirmación o revocación posterior. boe.es

El análisis lo firma Jonathan Izquierdo, perito informático forense.

Última actualización: 27 de agosto de 2026 Categoría: Seguridad Código: MAL-005