Zero-Click Malware

Zero-Click Malware

Algo más de 4 millones de dólares en daños punitivos, y una prohibición permanente. Ese fue el resultado final —tras reducir el tribunal los ~167 millones que había fijado el jurado— de lo que un tribunal estadounidense ordenó a NSO Group en mayo de 2025 por explotar WhatsApp con ataques zero-click para instalar Pegasus en dispositivos de periodistas y activistas. En febrero de ese mismo año, Meta ya había notificado a 90 usuarios en 24 países que habían sido atacados con el spyware Graphite de Paragon Solutions, también mediante un exploit zero-click en WhatsApp. El precio de una cadena zero-click completa para iPhone se mueve en los 5-7 millones de dólares según las listas públicas de compradores de exploits. No hay enlace que abrir, no hay archivo que descargar: el dispositivo se infecta con solo recibir un mensaje.

Definición técnica

Zero-click malware es una categoría de software malicioso que explota vulnerabilidades en el procesamiento automático de datos de un sistema operativo o aplicación para ejecutar código arbitrario sin ninguna interacción del usuario. A diferencia del malware tradicional que requiere que la víctima haga clic en un enlace, abra un adjunto o instale una aplicación, los exploits zero-click se activan automáticamente cuando el dispositivo recibe y procesa datos (un mensaje, una imagen, un PDF, una notificación push).

Comparativa: malware tradicional vs zero-click:

Estadísticas 2025:

• De 5 a 7 millones de dólares por una cadena completa zero-click de iOS, y 5 millones por la de Android —«e.g. WhatsApp, RCS»—, según la lista pública de precios de Crowdfense, que es un comprador real de exploits y publica lo que paga. Es el mejor indicador disponible de lo que cuesta un ataque de esta clase: no está al alcance de un particular, y eso importa al valorar quién puede estar detrás.
• 90 usuarios de WhatsApp notificados por Meta tras el ataque con el spyware Graphite, de Paragon (enero-febrero de 2025).

Cómo funciona un ataque zero-click

Casos reales documentados

FORCEDENTRY (NSO Group/Pegasus) - 2021

CVE: CVE-2021-30860 Vector: iMessage (procesamiento automático de imágenes) Descubrimiento: en el teléfono de un activista saudí — así arranca el informe de Citizen Lab que lo documenta: «While analyzing the phone of a Saudi activist infected with NSO Group’s Pegasus spyware, we discovered a zero-day zero-click exploit against iMessage»

Mecanismo técnico:

1. El atacante envía un iMessage con un fichero .gif que NO es un GIF:
   es un PDF con un flujo JBIG2 dentro. ImageIO adivina el formato real
   e ignora por completo la extensión
2. ImageIO de Apple procesa automáticamente la imagen
3. El exploit ataca el parser JBIG2 de CoreGraphics
4. Con las operaciones lógicas de JBIG2 se construye un ordenador:
   registros, sumador de 64 bits y comparador
5. Ejecución de código arbitrario sin interacción del usuario
6. Pegasus se instala con privilegios completos

Google Project Zero lo describió como «one of the most technically sophisticated exploits we’ve ever seen» —«uno de los exploits técnicamente más sofisticados que hemos visto»—, y conviene citarlo tal cual: no dijo que fuera el más sofisticado jamás visto.

Lo que hace extraordinario a FORCEDENTRY se puede contar con precisión, que es mejor que el superlativo. JBIG2 no ejecuta guiones, pero sí sabe aplicar operaciones lógicas sobre bits, y con XOR y XNOR se puede construir una puerta NAND — con la que se calcula cualquier función computable. El exploit usa más de 70.000 comandos de segmento para levantar «a small computer architecture» con registros, un sumador de 64 bits y un comparador, y ejecuta ahí dentro su escape del sandbox. Todo eso ocurre, en palabras de Project Zero, «out of a single decompression pass through a JBIG2 stream»: una sola pasada de descompresión.

Impacto documentado: en un informe distinto —From Pearl to Pegasus, de agosto de 2021— Citizen Lab identificó «nine Bahraini activists whose iPhones were successfully hacked with NSO Group’s Pegasus spyware between June 2020 and February 2021». Conviene no atribuírselo entero a FORCEDENTRY: ese informe precisa que algunas víctimas fueron atacadas con dos exploits zero-click distintos —KISMET, de 2020, y FORCEDENTRY, de 2021—, así que la horquilla de fechas cubre a los dos.

(Figuraban aquí «más de 45 países» como alcance de FORCEDENTRY. No está en ninguno de los dos informes: «countries» sale 0 veces en el de FORCEDENTRY y «45», ninguna en los dos. La cifra procede de Hide and Seek (2018), que contó países con operadores de Pegasus detectados — otro informe, tres años antes, y midiendo la infraestructura del atacante, no los objetivos de este exploit.)

Paragon Graphite (WhatsApp) - 2024-2025

CVE: CVE-2025-55177 (CVSS 5.4, puntuada por Meta) + CVE-2025-43300 (CVSS 10.0, puntuada por Apple). La puntuación baja de la primera no mide el daño real de la cadena: encadenada con la segunda produjo compromiso total del dispositivo sin interacción Vector: WhatsApp (sincronización de mensajes + ImageIO) Objetivo: 90+ periodistas y activistas en 24 países

Mecanismo técnico:

1. Atacante anade victima a grupo de WhatsApp
2. Envia PDF al grupo
3. WhatsApp procesa automaticamente el PDF
4. CVE-2025-55177: fallo en autorizacion de sincronizacion
   de mensajes permite abusar del parsing DNG
5. Se encadena con CVE-2025-43300: escritura fuera de limites
   en ImageIO (Apple) para corrupcion de memoria
6. Ejecucion remota de codigo → instalacion Graphite

Meta notifico a las víctimas en febrero 2025 y parcheo la vulnerabilidad del lado del servidor el 11 de noviembre de 2025, aunque Google senalo que el parche fue solo parcial.

LANDFALL (Samsung) - 2025

CVE: CVE-2025-21042 Vector: WhatsApp (archivos DNG/imagen) Objetivo: Dispositivos Samsung Android

El exploit fue utilizado como zero-day antes del parche de Samsung de abril 2025. Archivos DNG (imagen raw) maliciosos enviados via WhatsApp activaban la ejecución de código sin interacción del usuario, instalando el spyware LANDFALL.

NICKNAME (iMessage) - 2025

CVE: Descubierto por iVerify en junio 2025 Vector: iMessage (actualizaciones de apodo) Objetivo: Figuras políticas, periodistas, ejecutivos de IA (EE.UU. y UE)

Una vulnerabilidad use-after-free en el proceso imagent de iOS se activaba mediante actualizaciones rápidas de apodo enviadas por iMessage. Aparecio en menos del 0,001% de logs de fallo pero afecto desproporcionadamente a individuos de alto perfil.

Detección forense de zero-click malware

La detección forense de ataques zero-click es extremadamente compleja porque el malware esta diseñado específicamente para no dejar rastro. Sin embargo, existen indicadores forenses documentados:

Artefactos en iOS

Artefactos en Android

Herramientas de detección

## Mobile Verification Toolkit (MVT) - Amnesty International
## Analiza backups iOS/Android en busca de indicadores Pegasus/Graphite
pip install mvt

## Analizar backup iTunes de iOS
mvt-ios check-backup --indicators pegasus_indicators.stix2 /ruta/backup/

## Analizar backup Android
mvt-android check-backup --indicators indicators.stix2 /ruta/backup/

## iVerify - Detección comercial zero-click
## Escanea sysdiagnose iOS en busca de anomalias
## Requiere licencia empresarial

Marco legal español

Código Penal

Art. 197 bis CP - Acceso ilícito a sistemas:

“El que por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información.”

• Pena: 6 meses - 2 años prisión

Art. 197.1 CP - Interceptación de comunicaciones:

Espionaje mediante zero-click que intercepta comunicaciones cifradas (WhatsApp, Signal, email).

• Pena: 1-4 años prisión
• Agravante (art. 198 CP): si lo comete una autoridad o funcionario público fuera de los casos permitidos por la ley y prevaliéndose de su cargo, las penas del art. 197 se imponen en su mitad superior, más inhabilitación absoluta de seis a doce años

Art. 264 CP - Daños informáticos:

La instalación de spyware zero-click puede constituir daños informáticos al alterar el funcionamiento del sistema.

• Pena: 6 meses - 3 años prisión

Caso Pegasus en España (CatalanGate)

En 2022, Citizen Lab revelo que al menos 63 personas vinculadas al independentismo catalan (políticos, abogados, activistas) fueron espiadas con Pegasus. El Defensor del Pueblo abrio investigación, y la Eurocamara creo la comisión PEGA. El caso sigue abierto judicialmente.

Implicaciones legales:

• Si el CNI uso Pegasus con autorización judicial: legal bajo Ley 11/2002 CNI
• Si se usó sin autorización judicial por una autoridad o funcionario: art. 198 CP (penas del 197 en su mitad superior e inhabilitación absoluta de 6 a 12 años)
• Las víctimas pueden reclamar ante el TEDH (Tribunal Europeo Derechos Humanos)

LECrim y evidencia forense móvil

Art. 588 sexies LECrim: Regula el registro de dispositivos electrónicos. La extracción forense de un móvil infectado por zero-click requiere autorización judicial, y el perito debe documentar la cadena de custodia, los IOC (Indicators of Compromise) detectados y la metodología de análisis empleada.

Protección contra ataques zero-click

Para usuarios de alto riesgo (periodistas, abogados, activistas)

Para empresas

• MDM (Mobile Device Management): Control centralizado de actualizaciones y políticas
• Network monitoring: Detección de conexiones C2 anómalas desde dispositivos corporativos
• Threat intelligence feeds: Suscripción a IOCs de NSO, Paragon, Candiru actualizados
• Formación: Concienciación sobre límites de la seguridad móvil

Coste pericial

Total típico: 3.850-6.800 EUR

El análisis forense de zero-click es significativamente más costoso que el análisis de malware convencional debido a la complejidad técnica y la necesidad de herramientas especializadas.

FAQ

P: Puede un antivirus protegerme de un ataque zero-click? R: No. Los antivirus móviles operan a nivel de aplicación y no tienen acceso a las capas del sistema operativo donde se ejecutan los exploits zero-click. La única defensa efectiva es mantener el sistema actualizado, usar iOS Lockdown Mode si eres objetivo de alto riesgo, y monitorizar indicadores de compromiso con herramientas especializadas como MVT.

P: Si reinicio mi móvil, se elimina el spyware zero-click? R: Depende. Algunos implantes modernos operan solo en memoria y se eliminan con un reinicio. Sin embargo, versiones avanzadas de Pegasus logran persistencia sobreviviendo reinicios. Además, si reinicias antes de realizar una extracción forense, puedes destruir la única evidencia de la infección.

P: Solo los gobiernos usan zero-click malware? R: Históricamente si, debido a su coste (millones de dólares). Sin embargo, la tendencia MaaS (Malware-as-a-Service) esta democratizando el acceso. Además, la vulnerabilidad de WhatsApp grupos de enero 2026 demostro que fallos zero-click más sencillos pueden ser explotados por actores con menos recursos.

P: Como se si mi móvil ha sido infectado por un exploit zero-click? R: Los síntomas visibles son prácticamente inexistentes. Indicadores sutiles pueden incluir: consumo anómalo de batería, calentamiento sin uso, consumo de datos inusual. Para confirmación, se requiere análisis forense profesional con MVT (Mobile Verification Toolkit) de Amnesty International o herramientas equivalentes.

Conceptos relacionados

• Pegasus spyware - El spyware zero-click más conocido, desarrollado por NSO Group
• Zero-day - Vulnerabilidades sin parche que hacen posibles los ataques zero-click
• Malware (análisis forense) - Técnicas generales de análisis de software malicioso
• Troyano bancario - Malware móvil que puede usar vectores zero-click

Referencias y fuentes

1. Google Project Zero. (2021). “A deep dive into an NSO zero-click iMessage exploit: Remote Code Execution”. projectzero.google - Análisis técnico FORCEDENTRY
2. Citizen Lab. (2021). “FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild”. citizenlab.ca - Descubrimiento y documentación
3. Malwarebytes. (2025). “WhatsApp fixes vulnerability used in zero-click attacks”. malwarebytes.com - CVE-2025-55177
4. Malwarebytes. (2026). “A WhatsApp bug lets malicious media files spread through group chats”. malwarebytes.com - Vulnerabilidad grupos WhatsApp
5. SOCRadar. (2025). “CVE-2025-55177: Zero-Click WhatsApp Exploit Leveraged in Targeted Spyware Attacks”. socradar.io - Análisis Paragon Graphite
6. The Hacker News. (2025). “Meta Confirms Zero-Click WhatsApp Spyware Attack Targeting 90 Journalists”. thehackernews.com - 90 víctimas en 24 países
7. CybersecurityNews. (2025). “One Year of Zero-Click Exploits: What 2025 Taught Us”. cybersecuritynews.com - Recopilación periodística de exploits zero-click divulgados en 2025
8. The Hacker News. (2025). “Samsung Zero-Click Flaw Exploited to Deploy LANDFALL Spyware”. thehackernews.com - CVE-2025-21042
9. Código Penal: arts. 197 y 197.5 (descubrimiento y revelación de secretos; agravante por datos especialmente protegidos o víctima menor), 197 bis (acceso e interceptación ilícitos), 198 (autoridad o funcionario) y 264 (daños informáticos)
10. LECrim: Art. 588 sexies (registro dispositivos electrónicos)

Última actualización: 12 Febrero 2026 Categoría: Malware Nivel técnico: Avanzado