Cómo China convirtió un galardonado truco de iPhone contra los uigures

En marzo de 2017, un grupo de piratas informáticos de China llegó a Vancouver con un objetivo: encontrar puntos débiles ocultos dentro de las tecnologías más populares del mundo.

El navegador Chrome de Google, el sistema operativo Windows de Microsoft y los iPhones de Apple estaban todos en la mira. Pero nadie estaba infringiendo la ley. Estas fueron solo algunas de las personas que participaron en Pwn2Own, una de las competiciones de piratería más prestigiosas del mundo.

Era el décimo aniversario de Pwn2Own, un concurso que atrae a piratas informáticos de élite de todo el mundo con el atractivo de grandes premios en efectivo si logran explotar vulnerabilidades de software no descubiertas anteriormente, conocidas como “días cero”. Una vez que se encuentra una falla, los detalles se entregan a las empresas involucradas, dándoles tiempo para solucionarlo. El hacker, mientras tanto, se marcha con una recompensa económica y el derecho eterno de fanfarronear.

Durante años, los piratas informáticos chinos fueron las fuerzas más dominantes en eventos como Pwn2Own, ganando millones de dólares en premios y estableciéndose entre la élite. Pero en 2017, todo eso se detuvo.

Uno de la élite de China hackeó un iPhone…. Prácticamente de la noche a la mañana, la inteligencia china lo utilizó como arma contra un grupo étnico minoritario sitiado, atacando antes de que Apple pudiera solucionar el problema. Fue un acto descarado realizado a plena luz del día.

En una declaración inesperada, el multimillonario fundador y director ejecutivo del gigante chino de ciberseguridad Qihoo 360, una de las firmas de tecnología más importantes de China, públicamente criticado Ciudadanos chinos que viajaron al extranjero para participar en concursos de piratería. En una entrevista con el sitio de noticias chino Sina, Zhou Hongyi dijo que desempeñarse bien en tales eventos representaba simplemente un éxito “imaginario”. Zhou advirtió que una vez que los piratas informáticos chinos muestren vulnerabilidades en competencias en el extranjero, “ya no se podrán utilizar”. En cambio, argumentó, los piratas informáticos y su conocimiento deberían “permanecer en China” para que pudieran reconocer la verdadera importancia y el “valor estratégico” de las vulnerabilidades del software.

Beijing estuvo de acuerdo. Pronto, el gobierno chino prohibido investigadores de ciberseguridad que asisten a concursos de piratería en el extranjero. Apenas unos meses después, surgió una nueva competencia dentro de China para tomar el lugar de los concursos internacionales. La Copa Tianfu, como se la llamó, ofreció premios que sumaron más de un millón de dólares.

El evento inaugural se llevó a cabo en noviembre de 2018. El premio mayor de $ 200,000 fue para el investigador de Qihoo 360, Qixun Zhao, quien mostró un notable cadena de exploits que le permitieron tomar el control de manera fácil y confiable incluso de los iPhones más nuevos y actualizados. Desde un punto de partida dentro del navegador web Safari, encontró una debilidad en el núcleo del sistema operativo del iPhone, su kernel. ¿El resultado? Un atacante remoto podría apoderarse de cualquier iPhone que visite una página web que contenga el código malicioso de Qixun. Es el tipo de piratería que potencialmente se puede vender por millones de dólares en el mercado abierto para darles a los criminales o gobiernos la capacidad de espiar a un gran número de personas. Qixun lo llamó “Caos”.

Dos meses después, en enero de 2019, Apple emitió una actualización que solucionó la falla. Hubo poca fanfarria, solo una nota rápida de agradecimiento a quienes lo descubrieron.

Pero en agosto de ese año, Google publicó un análisis extraordinario en una campaña de piratería que decía que estaba “explotando iPhones en masa”. Los investigadores diseccionaron cinco cadenas de exploits distintas que habían detectado “en la naturaleza”. Estos incluyeron la hazaña que le valió a Qixun el premio mayor en Tianfu, que dijeron que también había sido descubierto por un “atacante” anónimo.

Los investigadores de Google señalaron similitudes entre los ataques que detectaron siendo utilizados en el mundo real y el Caos. Sin embargo, lo que omitieron en su inmersión profunda fueron las identidades de las víctimas y los atacantes: los musulmanes uigures y el gobierno chino.

Una campaña de opresión

Durante los últimos siete años, China ha cometió abusos contra los derechos humanos contra el pueblo uigur y otros grupos minoritarios en la provincia occidental de Xinjiang. Los aspectos bien documentados de la campaña incluyen campos de detención, esterilización obligatoria sistemática, tortura y violación organizadas, trabajo forzoso y un esfuerzo de vigilancia incomparable. Los funcionarios en Beijing argumentan que China está actuando para combatir el “terrorismo y el extremismo”, pero Estados Unidos, entre otros países, ha llamado a las acciones genocidio. Los abusos se suman a una alta tecnología sin precedentes campaña de opresión que domina las vidas de los uigures, basándose en parte en campañas de piratería específicas.

La piratería china de uigures es tan agresiva que efectivamente es global, extendiéndose mucho más allá de las propias fronteras del país. Se dirige a periodistas, disidentes y cualquiera que levante las sospechas de Pekín sobre una lealtad insuficiente.

Poco después de que los investigadores de Google notaran los ataques, los medios informes conectó los puntos: los objetivos de la campaña que utilizó el exploit del Caos eran los uigures, y los piratas informáticos estaban vinculados al gobierno chino. Apple publicó un blog poco común correo eso confirmó que el ataque había tenido lugar durante dos meses: es decir, el período que comienza inmediatamente después de que Qixun ganó la Copa Tianfu y se extiende hasta que Apple emitió la solución.

Leave a Reply

Your email address will not be published. Required fields are marked *