Estas herramientas pueden utilizarse para validar la integridad de tus dispositivos móviles y comprobar si presentan indicadores de compromiso por programas espía y maliciosos como Pegasus, Predator o KingsPawn. Esta página se centra en la seguridad móvil, porque los dispositivos móviles suelen tener sistemas de solo lectura con configuraciones bien conocidas, por lo que detectar modificaciones maliciosas es más fácil que en los sistemas de escritorio tradicionales. Es posible que en el futuro ampliemos el contenido de esta página.
Este es un tema avanzado
Estas herramientas pueden ser útiles para determinadas personas. Estas proporcionan funciones de las que la mayoría de las personas no se deben preocupar y, frecuentemente, requieren un conocimiento técnico más profundo para ser usadas de la manera correcta.
Es crítico comprender que escanear tu dispositivo por indicadores públicos de compromiso no es suficiente para determinar si un dispositivo está "limpio" y no está bajo el radar de una herramienta de spyware. La confianza en estas herramientas de escaneo de acceso público puede pasar por alto los últimos avances en seguridad y proporcionarte una falsa sensación de seguridad.
Recomendación general¶
La mayoría de las vulnerabilidades a nivel del sistema en dispositivos móviles modernos—en especial los del tipo cero-click—no son persistentes, significando que estas no permanecerán o se ejecutarán luego de un reinicio. Por esta razón, recomendamos encarecidamente reiniciar tu dispositivo con regularidad. Le recomendamos a todos reiniciar sus dispositivos una vez por semana como mínimo, pero si un malware no persistente es una preocupación en particular para ti, nosotros y varios expertos en seguridad recomendamos un programa de reinicio diario.
Esto significa que un atacante deberá volver a infectar tu dispositivo con regularidad para mantener el acceso, aunque es importante destacar que esto no es imposible. Reiniciar tu dispositivo tampoco te protegerá ante malware persistente, pero esto no es tan común en los dispositivos móviles, debido a características modernas de seguridad como el inicio seguro/verificado.
Información y descargo posterior al compromiso¶
Si cualquiera de las siguientes herramientas indican un potencial compromiso de parte de programas espías como Pegasus, Predator o KingsPawn, te recomendamos contactar:
- Si eres un defensor de los derechos humanos, periodista o perteneces a una organización de la sociedad civil: Laboratorio de Seguridad de Amnistía Internacional
- If a business or government device is compromised: the appropriate security liason at your enterprise, department, or agency
- Cuerpos locales de seguridad
No somos capaces de ayudarte directamente más allá de esto. Estamos encantados de discutir tu situación o circunstancia en específico y revisar tus resultados en nuestros espacios comunitarios, pero es poco probable que podamos ayudarte más allá de lo escrito en esta página.
Las herramientas en esta página únicamente son capaces de detectar indicadores de compromisos, no en removerlos. Si estás preocupado sobre estar comprometido, te sugerimos:
- Considerar reemplazar el dispositivo en su totalidad
- Considerar cambiar tu número SIM/eSIM
- No restaurar una copia de seguridad, porque dicho respaldo podría estar comprometido
Estas herramientas proporcionan un análisis basado en la información de tu dispositivo que son capaces de acceder, además de los indicadores públicos de compromiso. Es importante tomar en cuenta dos cosas:
- Los indicadores de compromiso son solo eso: indicadores. No son un hallazgo definitivo y, ocasionalmente, pueden ser falsos positivos. Si un indicador de compromiso es detectado, esto significa que deberías realizar una investigación adicional sobre la potencial amenaza.
- ¡Los indicadores de compromiso buscados por estas herramientas son publicados por organizaciones de investigación de amenazas, pero no todos los indicadores son públicos! Esto significa que estas herramientas pueden presentar un falso negativo, si tu dispositivo está infectado con programas de espionaje que no son detectados por cualquiera de los indicadores públicos. Reliable and comprehensive digital forensic support and triage require access to non-public indicators, research, and threat intelligence.
Herramientas externas de verificación¶
Protects against the following threat(s):
External verification tools run on your computer and scan your mobile device for forensic traces, which are helpful to identify potential compromise.
Peligro
Los indicadores públicos de compromiso son insuficientes para determinar si un dispositivo está "limpio" y no está bajo el radar de una herramienta de espionaje en específico. La confianza en indicadores públicos puede pasar por alto los más recientes rastros forenses y proporcionar una falsa sensación de seguridad.
Reliable and comprehensive digital forensic support and triage require access to non-public indicators, research, and threat intelligence.
Este tipo de soporte está disponible para la sociedad civil a través de del Laboratorio de Seguridad de Amnistía Internacional o la Línea de ayuda de Seguridad Digital de Access Now.
Estas herramientas pueden desencadenar falsos positivos. Si alguna de estas herramientas detecta indicadores de peligro, debes profundizar para determinar el riesgo real. Algunos informes pueden ser falsos positivos basados en sitios web que has visitado en el pasado, y los hallazgos que tienen muchos años de antigüedad probablemente sean falsos positivos o indiquen un compromiso anterior (y ya no activo).
Mobile Verification Toolkit¶
Mobile Verification Toolkit (MVT) es una colección de herramientas que simplifican y automatizan el proceso de escanear dispositivos móviles en busca de potenciales rastros de ataques o infecciones por campañas conocidas de espionaje. MVT fue desarrollado por Amnistía Internacional y se publicó en 2021 en el contexto del Proyecto Pegasus.
Advertencia
El uso de MVT no es suficiente para determinar que un dispositivo está "limpio" y no es objetivo de una herramienta espía concreta.
MVT es más útil para escanear dispositivos iOS. Android stores very little diagnostic information useful to triage potential compromises, and because of this, mvt-android capabilities are limited as well. Por otro lado, las copias de seguridad cifradas de iTunes para iOS proporcionan un subconjunto de archivos almacenados en el dispositivo lo suficientemente grande como para detectar artefactos sospechosos en muchos casos. Dicho esto, MVT sigue proporcionando herramientas bastante útiles para el análisis tanto de iOS como de Android.
Si utilizas iOS y estás en situación de alto riesgo, tenemos tres sugerencias adicionales para ti:
-
Crea y mantén copias de seguridad periódicas (mensuales) de iTunes. Esto te permite encontrar y diagnosticar infecciones pasadas más tarde con MVT, si se descubren nuevas amenazas en el futuro.
-
Activa los registros de sysdiagnose a menudo y respáldalos externamente. Estos registros pueden proporcionar datos muy valiosos a futuros investigadores forenses en caso necesario.
El proceso para hacerlo varía según el modelo, pero puedes activarlo en los teléfonos más nuevos manteniendo pulsados Apagar + Subir volumen + Bajar volumen hasta que sientas una breve vibración. Transcurridos unos minutos, el registro sysdiagnose con fecha y hora aparecerá en Configuración > Privacidad y seguridad > Análisis y Mejoras > Datos de Análisis.
- Activa eñ Modo de Bloqueo.
MVT te permite realizar escaneos/análisis más profundos si tu dispositivo tiene jailbreak. A menos que sepas lo que estás haciendo, no hagas jailbreak ni root a tu dispositivo. Hacer jailbreak a tu dispositivo lo expone a considerables riesgos de seguridad.
iMazing (iOS)¶
iMazing proporciona una herramienta gratuita para el análisis de programas de espionaje, disponible para dispositivos iOS, que actúa como una interfaz gráfica para MVT. Esta puede ser más fácil de ejecutar, a comparación del propio MVT, que es una herramienta de línea de comandos diseñada para tecnólogos e investigadores forenses.
iMazing automatiza y te guía de forma interactiva a través del proceso de uso de MVT para escanear tu dispositivo en busca de indicadores de compromiso de acceso público publicados por varios investigadores de amenazas. Toda la información y advertencias que se aplican a MVT se aplican también a esta herramienta, por lo que te sugerimos que te familiarices también con las notas sobre MVT de las secciones anteriores.
Verificación en el Dispositivo¶
Protects against the following threat(s):
Se trata de aplicaciones que puedes instalar y que comprueban el dispositivo y el sistema operativo en busca de signos de manipulación y validan la identidad del dispositivo.
Advertencia
El uso de estas aplicaciones no basta para determinar que un dispositivo está "limpio" y no es objetivo de una herramienta de spyware concreta.
Auditor (Android)¶
Auditor es una aplicación que aprovecha las funciones de seguridad del hardware para proporcionar un monitoreo de la integridad del dispositivo, al validar de manera activa la identidad de este y la integridad del sistema operativo. Actualmente, esta sólo funciona con GrapheneOS o el sistema operativo en limpio para los dispositivos compatibles.
Downloads "Descargas"
Auditor is not a scanning/analysis tool like some other tools on this page. Rather, it uses your device's hardware-backed keystore to allow you to verify the identity of your device and gain assurance that the operating system itself hasn't been tampered with or downgraded via verified boot. Esto proporciona una comprobación muy sólida de la integridad del propio dispositivo, pero no comprueba necesariamente si las aplicaciones a nivel de usuario que se ejecutan en el dispositivo son maliciosas.
El auditor realiza la atestación y la detección de intrusiones con dos dispositivos, uno auditado (el dispositivo que se verifica) y un auditor (el dispositivo que realiza la verificación). The auditor can be any Android 10+ device (or a remote web service operated by GrapheneOS), while the auditee must be a specifically supported device. Auditor funciona así:
- DocumentaciónUtilizando un modelo Confiar en el Primer Uso (TOFU) entre un auditor y un auditado, la pareja establece una clave privada en el almacén de claves respaldado por hardware del Auditor.
- El auditor puede ser otra instancia de la aplicación Auditor o el Servicio de Certificación a Distancia.
- El auditor registra el estado actual y la configuración del auditado.
- En caso de que se produzca una manipulación del sistema operativo del auditado una vez completado el emparejamiento, el auditor será consciente del cambio en el estado y las configuraciones del dispositivo.
- Se te avisará del cambio.
Es importante señalar que Auditor solo puede detectar eficazmente cambios después del emparejamiento inicial, no necesariamente durante o antes debido a su modelo TOFU. Para asegurarte de que el hardware y el sistema operativo son auténticos, realiza una atestación local inmediatamente después de instalar el dispositivo y antes de cualquier conexión a Internet.
No se envía información personal identificable al servicio de certificación. Recomendamos que te registres con una cuenta anónima y actives la atestación remota para una supervisión continua.
Si tu modelo de amenaza requiere privacidad, podrías considerar utilizar Orbot o una VPN para ocultar tu dirección IP al servicio de atestación.
Escáneres en el Dispositivo¶
Protects against the following threat(s):
Se trata de aplicaciones que puedes instalar en tu dispositivo y que lo escanean en busca de señales de peligro.
Advertencia
El uso de estas aplicaciones no basta para determinar que un dispositivo está "limpio" y no es objetivo de una herramienta de spyware concreta.
Hypatia (Android)¶
Hypatia is an open source real-time malware scanner for Android, from the developer of DivestOS. It accesses the internet to download signature database updates, but does not upload your files or any metadata to the cloud (scans are performed entirely locally).
Downloads "Descargas"
Hypatia es especialmente buena en la detección de stalkerware común: Si sospechas que eres víctima de stalkerware, deberías visitar esta página para obtener asesoramiento.
iVerify Basic (iOS)¶
iVerify Basic is an iOS app which can scan your device to check configuration settings, patch level, and other areas of security. It also checks your device for indicators of compromise by jailbreak tools or of Targeted Attacks such as Pegasus.
Downloads "Descargas"
Previously, iVerify would scan your device for threats automatically in the background and notify you if one is found, but this is no longer the case following their rebrand of the consumer app to iVerify Basic in May 2024. You can still run manual scans within the app. Automatic background scanning is now only available in iVerify's enterprise product which is unavailable to consumers.
Like all iOS apps, iVerify Basic is restricted to what it can observe about your device from within the iOS App Sandbox. No proporcionará un análisis tan sólido como una herramienta de análisis de sistema completo como MVT. Su función principal es detectar si tu dispositivo tiene jailbreak, para lo cual es eficaz, sin embargo, una hipotética amenaza que esté específicamente diseñada para eludir las comprobaciones de iVerify probablemente lo conseguiría.
iVerify Basic is not an "antivirus" tool, and will not detect non-system-level malware such as malicious custom keyboards or malicious Wi-Fi Sync configurations, for example.
In addition to device scanning, iVerify Basic also includes a number of additional security utilities which you may find useful, including device reboot reminders, iOS update notifications (which are often faster than Apple's staggered update notification rollout), and some basic privacy and security guides.