Un abogado de derechos humanos de la provincia paquistaní de Baluchistán recibió un enlace sospechoso en WhatsApp de un número desconocido, lo que marcó la primera vez que un miembro de la sociedad civil del país fue atacado por el software espía Predator de Intellexa, afirmó Amnistía Internacional en un informe.
El enlace, dijo la organización sin fines de lucro, es un «intento de ataque de Predator basado en el comportamiento técnico del servidor de infección y en características específicas del enlace de infección única que eran consistentes con enlaces de 1 clic de Predator observados anteriormente». Pakistán ha rechazado las acusaciones, afirmando que «no hay ni un ápice de verdad en ellas».
Los hallazgos provienen de una nueva investigación conjunta publicada en colaboración con el periódico israelí Haaretz, el sitio de noticias griego Inside Story y el sitio de tecnología suizo Inside IT. Se basa en documentos y otros materiales filtrados de la empresa, incluidos documentos internos, material de ventas y marketing y vídeos de formación.
Intellexa es el fabricante de una herramienta de software espía mercenario llamada Predator que, similar a Pegasus de NSO Group, puede recopilar de forma encubierta datos confidenciales de los dispositivos Android e iOS de los objetivos sin su conocimiento. Las filtraciones muestran que Predator también se ha comercializado como Helios, Nova, Green Arrow y Red Arrow.
A menudo, esto implica el uso de diferentes vectores de acceso inicial, como plataformas de mensajería, que utilizan como arma fallas no reveladas previamente para instalar sigilosamente el software espía, ya sea mediante un enfoque de cero clic o de un solo clic. Por lo tanto, el ataque requiere que se abra un enlace malicioso en el teléfono del objetivo para desencadenar la infección.
Si la víctima termina haciendo clic en el enlace de la trampa explosiva, se carga un exploit del navegador para Google Chrome (en Android) o Apple Safari (en iOS) para obtener acceso inicial al dispositivo y descargar la carga útil principal del software espía. Según datos de Google Threat Intelligence Group (GTIG), Intellexa ha sido vinculada a la explotación de los siguientes días cero, ya sea desarrollados internamente o adquiridos a entidades externas:
Una de esas cadenas de exploits de día cero de iOS utilizada contra objetivos en Egipto en 2023 implicó aprovechar CVE-2023-41993 y un marco llamado JSKit para realizar la ejecución de código nativo. GTIG dijo que observó el mismo exploit y marco utilizado en un ataque de abrevadero orquestado por piratas informáticos respaldados por el gobierno ruso contra sitios web del gobierno de Mongolia, lo que plantea la posibilidad de que los exploits provengan de un tercero.
 |
| Folleto de marketing que presenta las capacidades del producto de software espía de Intellexa. |
«El marco JSKit está bien mantenido, admite una amplia gama de versiones de iOS y es lo suficientemente modular como para admitir diferentes técnicas de ejecución de código y omisiones del Código de autenticación de puntero (PAC)», explicó Google. «El marco puede analizar binarios Mach-O en memoria para resolver símbolos personalizados y, en última instancia, puede mapear y ejecutar manualmente binarios Mach-O directamente desde la memoria».
 |
| Captura de pantalla de un ejemplo de interfaz de panel de PDS (Predator Delivery Studio) utilizada para administrar objetivos y ver los datos de vigilancia recopilados |
Tras la explotación de CVE-2023-41993, el ataque pasó a la segunda etapa para salir del sandbox de Safari y ejecutar una carga útil de tercera etapa no confiable denominada PREYHUNTER aprovechando CVE-2023-41991 y CVE-2023-41992. PREYHUNTER consta de dos módulos:
- Watcher, que monitorea los fallos, se asegura de que el dispositivo infectado no muestre ningún comportamiento sospechoso y procede a finalizar el proceso de explotación si se detectan dichos patrones.
- Ayudante, que se comunica con las otras partes del exploit a través de un socket Unix e implementa ganchos para grabar conversaciones VoIP, ejecutar un registrador de teclas y capturar imágenes de la cámara.
También se dice que Intellexa está utilizando un marco personalizado que facilita la explotación de varias fallas de V8 en Chrome, es decir, CVE-2021-38003, CVE-2023-2033, CVE-2023-3079, CVE-2023-4762 y CVE-2025-6554, y se observó el abuso de CVE-2025-6554 en junio. 2025 en Arabia Saudita.
Una vez instalada la herramienta, recopila datos de aplicaciones de mensajería, llamadas, correos electrónicos, ubicaciones de dispositivos, capturas de pantalla, contraseñas y otra información del dispositivo y los extrae a un servidor externo ubicado físicamente en el país del cliente. Predator también viene equipado con la capacidad de activar el micrófono del dispositivo para capturar silenciosamente el audio ambiental y aprovechar la cámara para tomar fotografías.
La empresa, junto con algunos ejecutivos clave, fue objeto de sanciones estadounidenses el año pasado por desarrollar y distribuir la herramienta de vigilancia y socavar las libertades civiles. A pesar de los continuos informes públicos, Insikt Group de Recorded Future reveló en junio de 2025 que detectó actividad relacionada con Predator en más de una docena de países, principalmente en África, lo que sugiere una «creciente demanda de herramientas de software espía».
Quizás la revelación más significativa es que las personas que trabajaban en Intellexa supuestamente tenían la capacidad de acceder de forma remota a los sistemas de vigilancia de al menos algunos de sus clientes, incluidos aquellos ubicados en las instalaciones de sus clientes gubernamentales, utilizando TeamViewer.
«El hecho de que, al menos en algunos casos, Intellexa parezca haber conservado la capacidad de acceder de forma remota a los registros de los clientes de Predator, permitiendo al personal de la empresa ver detalles de las operaciones de vigilancia y de las personas objetivo, plantea dudas sobre sus propios procesos de debida diligencia en materia de derechos humanos», dijo Jurre van Bergen, tecnólogo del Laboratorio de Seguridad de Amnistía Internacional, en un comunicado de prensa.
«Si se descubre que una empresa mercenaria de software espía está directamente involucrada en el funcionamiento de su producto, entonces, según los estándares de derechos humanos, podría dejarla expuesta a reclamaciones de responsabilidad en casos de uso indebido y si algún abuso de los derechos humanos es causado por el uso de software espía».
El informe también destacó los diferentes vectores de entrega adoptados por Intellexa para activar la apertura del enlace malicioso sin la necesidad de que el objetivo haga clic manualmente en él. Esto incluye vectores tácticos como Triton (revelado en octubre de 2023), Thor y Oberon (ambos desconocidos en este momento), así como vectores estratégicos que se entregan de forma remota a través de Internet o una red móvil.
Los tres vectores estratégicos se enumeran a continuación:
- Mars y Júpiter, que son sistemas de inyección de red que requieren la cooperación entre el cliente de Predator y el operador móvil o proveedor de servicios de Internet (ISP) de la víctima para organizar un ataque de adversario en el medio (AitM) esperando a que el objetivo abra un sitio web HTTP no cifrado para activar la infección o cuando el objetivo visita un sitio web HTTPS nacional que ya ha sido interceptado utilizando certificados TLS válidos.
- Aladdin, que explota el ecosistema de publicidad móvil para llevar a cabo un ataque sin clic que se activa simplemente al ver el anuncio especialmente diseñado. Se cree que el sistema ha estado en desarrollo desde al menos 2022.
«El sistema Aladdin infecta el teléfono del objetivo al obligar a que se muestre en el teléfono un anuncio malicioso creado por el atacante», dijo Amnistía. «Este anuncio malicioso podría publicarse en cualquier sitio web que muestre anuncios».
 |
| Mapeo de la web corporativa de Intellexa vinculada al cluster checo |
Google dijo que el uso de anuncios maliciosos en plataformas de terceros es un intento de abusar del ecosistema publicitario para tomar huellas digitales de los usuarios y redirigir a los usuarios específicos a los servidores de entrega de exploits de Intellexa. También dijo que trabajó con otros socios para identificar las empresas que Intellexa creó para crear los anuncios y cerrar esas cuentas.
En un informe separado, Recorded Future dijo que descubrió dos empresas llamadas Pulse Advertise y MorningStar TEC que parecen estar operando en el sector publicitario y probablemente estén vinculadas al vector de infección Aladdin. Además, hay pruebas de que los clientes de Intellexa con sede en Arabia Saudita, Kazajstán, Angola y Mongolia todavía se comunican con la infraestructura de múltiples niveles de Predator.
«Por el contrario, los clientes de Botswana, Trinidad y Tobago y Egipto dejaron de comunicarse en junio, mayo y marzo de 2025, respectivamente», añadió. «Esto puede indicar que estas entidades suspendieron el uso del software espía Predator en esa época; sin embargo, también es posible que simplemente modificaran o migraran sus configuraciones de infraestructura».
