# Exploit Zero-Day & Ataque Zero-Click

*Si eres usuario iOS, esto te interesa; y si eres usuario Android, también*

By [Gorayii | Raicelys Gómez](https://paragraph.com/@gorayii) · 2024-04-24

cybersecurity, zero-day, zero-click, technology, android, ios, exploit

---

![](https://storage.googleapis.com/papyrus_images/1263c582339a2ff38d41c6043277420d.png)

Hace algunos días, mientras leía las noticias, me topé con una advertencia de seguridad desde la cuenta de **Trust Wallet** en la cual alertaban a los usuarios de **iOS** acerca de un **exploit zero-day** de alto riesgo. Como usuaria de Apple, este tipo de alertas hacen eco en mí.

[![User Avatar](https://storage.googleapis.com/papyrus_images/21bab5c11cc802fa1d7d5e78edf94e4f.jpg)](https://twitter.com/TrustWallet)

[Trust Wallet](https://twitter.com/TrustWallet)

[@TrustWallet](https://twitter.com/TrustWallet)

[![Twitter Logo](https://paragraph.xyz/editor/twitter/logo.png)](https://twitter.com/TrustWallet/status/1779961167537979775)

1/2: ![⚠️](https://twemoji.maxcdn.com/v/14.0.2/72x72/26a0.png) Alert for iOS users: We have credible intel regarding a high-risk zero-day exploit targeting iMessage on the Dark Web.  
  
This can infiltrate your iPhone without clicking any link. High-value targets are likely. Each use raises detection risk. [#CyberSecurity](https://twitter.com/hashtag/CyberSecurity)

 [![Like Icon](https://paragraph.xyz/editor/twitter/heart.png) 6,535](https://twitter.com/TrustWallet/status/1779961167537979775)[

21:53 • 15 abr 2024

](https://twitter.com/TrustWallet/status/1779961167537979775)

![](https://storage.googleapis.com/papyrus_images/d1f5b286ae1c28caf778ee66708aab73.png)

**Exploit zero-day & ataque zero-click**
----------------------------------------

Bien, lo primero que debemos entender es: **¿Qué es un exploit zero-day?** Básicamente, se trata de explotar o aprovecharse de una vulnerabilidad de seguridad antes de que los desarrolladores, en este caso Apple, lancen un parche o actualización para corregirlo. En pocas palabras, es sacar ventaja de una vulnerabilidad nueva sobre la cual no se tiene conocimiento previo, y por tanto, no existe en el momento "la cura" para ese mal. Entiéndase que no existe, para el momento de su detección, un software que corrija el fallo de seguridad.

Ahora bien, volviendo a la advertencia de la noticia, **¿De qué se trataba ese exploit y por qué era considerado de alto riesgo?** Bueno, se trataba de una vulnerabilidad que aparentemente estaba vinculada con **iMessage** (la mensajería del ecosistema de Apple) y que permitía que se pudiesen ejecutar archivos maliciosos para el robo de información sin la necesidad de la intervención del usuario.

**¿Esto qué quiere decir?** Bueno, que podría tratarse de **ataque zero-click o clic cero** que, como su nombre lo indica, no requiere nuestra intervención para que pueda filtrarse e infectar el equipo; es decir, es un ataque sin clics, aunque no pinchemos ningún enlace, igual el malware se ejecutará.

Si ahora mismo estás pensando: _“o sea que aunque sea sumamente cuidadoso de no dar clics en enlaces sospechosos o desconocidos, ¿igual puedo ser víctima de ataque?_ Lamentablemente, la respuesta es sí.

▼**ENGLISH VERSION**

### **Zero-day exploit and zero-click attack**

This morning, while reading the news, I came across a security warning from the TrustWallet account alerting iOS users about a high-risk zero-day exploit. As many know, I'm an Apple user, so these kinds of alerts resonate with me.  
  
Alright, the first thing we need to understand is: **What is a zero-day exploit?** Essentially, it's exploiting or taking advantage of a security vulnerability before developers, in this case Apple, release a patch or update to fix it. In simple terms, it's leveraging a new vulnerability that is not previously known, and therefore, there's no existing "cure" for it at the time of detection. It's important to note that, at the time of its detection, there's no software available to fix the security vulnerability.  
  
Now, getting back to the news warning, **what is this exploit about and why is it high-risk?** Well, it's a vulnerability apparently associated with **iMessage** (Apple's messaging system) that allows malicious files to be executed for information theft without the need for user intervention.  
  
**What does this mean?** Well, it's a **zero-click attack**, as the name suggests, it doesn't require our intervention to infiltrate and infect the device; in other words, it is an attack without clicks, even if we don't click on any links, the malware will still execute.  
  
If you're currently thinking: _"So, even if I'm extremely careful not to click on suspicious or unknown links, I can still be a victim of an attack?"_ Unfortunately, the answer is yes.

![](https://storage.googleapis.com/papyrus_images/9553da2cfed60747854699a53e7b9be9.png)

### **¿Qué hacer en estos caso?**

En el caso concreto del exploit en **iMessage**, la recomendación inmediata sugerida era **desactivar iMessage** hasta tanto Apple anunciase alguna actualización o parche para cerrar esa puerta trasera y corregir dicha vulnerabilidad.

_Ajustes - mensajes - iMessage - off_

![](https://storage.googleapis.com/papyrus_images/8f9ef8e8c3b16c5e59c4114e787498d3.png)

Ahora, una recomendación general para mitigar riesgos de cero clic o ataques sin clics, y esto aplica más allá de ese exploit puntual, es **desactivar en las aplicaciones de mensajería (Telegram, WhatsApp) la descarga automática de archivos**. De manera que nada de lo que nos envíen se descargue automáticamente en nuestros dispositivos sino que tengamos la opción, según confiemos o no en el remitente o la fuente, de descargarlo o no.

Recuerden, un **ataque zero-click** se hace efectivo con tan solo recibir el archivo infectado y que este se descargue en el dispositivo, sin que para ello hayamos cliqueado nada. De allí que sea tan peligroso, y de allí que se le considere de alto riesgo.

### **¿Cómo lo hago?**

En **WhatsApp**, ve a _Configuración - Almacenamiento y datos_, y en _"descarga automática de archivos"_, configúralas todas en **"nunca"**. Hazlo tanto para las fotos, los vídeos, los audios y los documentos.

![](https://storage.googleapis.com/papyrus_images/b203e32bff7c42729551e390f47429ce.png)

En el caso de **Telegram**, la configuración es similar. Entra en _Ajustes - Datos y almacenamiento - Autodescarga de multimedia_, y desactiva la descarga automática tanto para datos móviles como para Wi-Fi. Estas y otras configuraciones de seguridad para **Telegram** las puedes ampliar en esta [publicación.](https://inleo.io/@gorayii/una-armadura-para-telegram-seguridad-y-privacidad-)

![](https://storage.googleapis.com/papyrus_images/aa062f06707c077791401d91513cae9e.png)

Recuerda siempre mantener actualizados tus dispositivos: sistema operativo, aplicaciones, extensiones, etc. Te invito a consultar otras publicaciones asociadas al tema en la [Colección de Ciberseguridad](https://peakd.com/hive-106817/@gorayii/coleccion-de-contenido-relacionado-con-la-seguridad-de-la-informacion-or-ciberseguridad).

### **Mantengámonos alertas y seguros.**

▼**ENGLISH VERSION**

### **What to do in this case?**

In the specific case of the **iMessage** exploit, the immediate suggested recommendation is to **disable iMessage** until Apple announces an update or patch that can close that backdoor and fix the vulnerability. _Settings - messages - iMessage - off_.  
  
Now, a general recommendation to mitigate zero-click risks or clickless attacks, and this applies beyond this specific exploit, is to **disable automatic file downloads in messaging applications (Telegram, WhatsApp)**. This means that nothing sent to us will be automatically downloaded to our devices, and we'll have the option, depending on whether we trust the sender or the source, to download it or not.  
  
Remember, a **zero-click attack** is effective simply by receiving the infected file and having it downloaded to the device, without us having clicked anything. Hence, it's so dangerous, and why it's considered high-risk.

#### **How do I do it?**

In **WhatsApp**, go to _Settings - Storage and data_, and under _"Automatic download of media,"_ set them all to **"never."** Do this for photos, videos, audios, and documents.  
  
In the case of **Telegram**, the configuration is similar. Go to _Settings - Data and storage - Autodownload of media_, and disable automatic download for both mobile data and Wi-Fi. You can find these and other security settings for Telegram in this [post.](https://inleo.io/@gorayii/una-armadura-para-telegram-seguridad-y-privacidad-)  
  
Always remember to keep your devices updated: operating system, applications, extensions, etc. I invite you to consult other publications related to this topic in the [Cybersecurity Collection.](https://peakd.com/hive-106817/@gorayii/coleccion-de-contenido-relacionado-con-la-seguridad-de-la-informacion-or-ciberseguridad)  
  
Let's stay alert and safe.

![](https://storage.googleapis.com/papyrus_images/f47198aee9127a3876c016644f776eba.png)

`Diseño de miniatura en Canva.com.   Capturas de pantalla de las apps Telegram y Whatsapp para iOS.`

[Subscribe](https://paragraph.xyz/@gorayii/memberships)

![](https://storage.googleapis.com/papyrus_images/2963a8255d9fd66b9035b24cdc6fe1b9.png)

---

*Originally published on [Gorayii | Raicelys Gómez](https://paragraph.com/@gorayii/zero-dayandzero-click)*