Wyjaśnienie: w jaki sposób oprogramowanie szpiegujące Pegasus infekuje urządzenie; jakie dane mogą zostać naruszone

Project Pegasus: Izraelskie oprogramowanie szpiegujące, które, jak się okazało, było wykorzystywane do atakowania setek telefonów w Indiach, stało się mniej zależne od kliknięć. Pegasus może zainfekować urządzenie bez zaangażowania lub wiedzy celu.

Pegasus jest flagowym produktem NSO Group (ilustracja Express)

W listopadzie 2019 r. reporter technologiczny z Nowego Jorku sfotografował urządzenie przechwytujące wystawione na Milipol, targach poświęconych bezpieczeństwu wewnętrznemu w Paryżu. Wystawca, NSO Group, umieścił sprzęt z tyłu furgonetki, być może sugerując wygodę przenoszenia, i powiedział, że nie będzie działał z numerami telefonów w USA, prawdopodobnie z powodu ograniczeń nałożonych przez firmę.

Od czasu założenia izraelskiego giganta cybernetycznego w 2010 roku, prawdopodobnie po raz pierwszy w mediach pojawiła się przenośna stacja bazowa BTS (Base Transceiver Station) wyprodukowana przez NSO.

BTS — lub „nieuczciwa wieża komórkowa” lub „IMSI Catcher” lub „stingray” — podszywa się pod legalne wieże komórkowe i zmusza telefony komórkowe znajdujące się w promieniu do połączenia się z nimi, aby przechwycony ruch mógł być manipulowany przez atakującego. BTS sfotografowany w 2019 roku składał się z poziomo ułożonych kart, które prawdopodobnie umożliwiłyby przechwytywanie w wielu pasmach częstotliwości.

Inną opcją jest wykorzystanie dostępu do samego operatora komórkowego celu. W tym scenariuszu atakujący nie potrzebowałby żadnej nieuczciwej wieży komórkowej, ale polegałby na zwykłej infrastrukturze sieciowej do manipulacji.

Tak czy inaczej, możliwość przeprowadzania ataków „wstrzykiwania sieci” — wykonywanych zdalnie bez zaangażowania celu (stąd również o nazwie zero-klik ) lub wiedza — dała Pegaz , flagowy produkt NSO Group, wyjątkowa przewaga nad konkurentami na globalnym rynku oprogramowania szpiegującego.

Pegasus jest teraz w centrum globalnego wspólnego projektu dochodzeniowego, w ramach którego ustalono, że oprogramowanie szpiegujące było wykorzystywane m.in. setki telefonów komórkowych w Indiach .

Czym Pegasus różni się od innych programów szpiegujących?

Pegasus aka Q Suite, sprzedawany przez NSO Group aka Q Cyber ​​Technologies jako wiodące na świecie rozwiązanie cyberwywiadowcze, które umożliwia organom ścigania i agencjom wywiadowczym zdalne i potajemne wydobywanie danych z praktycznie dowolnych urządzeń mobilnych, został opracowany przez weteranów izraelskich agencji wywiadowczych.

Do początku 2018 r. klienci NSO Group polegali głównie na wiadomościach SMS i WhatsApp, aby nakłonić cele do otwarcia szkodliwego łącza, co doprowadziłoby do infekcji ich urządzeń mobilnych. Broszura Pegasusa opisała to jako Enhanced Social Engineering Message (ESEM). Po kliknięciu złośliwego łącza spakowanego jako ESEM telefon jest kierowany na serwer, który sprawdza system operacyjny i dostarcza odpowiedniego zdalnego exploita.

W swoim raporcie z października 2019 r. Amnesty International po raz pierwszy udokumentowała użycie „wstrzyknięć sieciowych”, które umożliwiły atakującym zainstalowanie oprogramowania szpiegującego bez konieczności interakcji ze strony celu. Pegasus może osiągnąć takie instalacje bez klikania na różne sposoby. Jedną z opcji OTA (over-the-air) jest potajemne wysyłanie wiadomości push, która powoduje, że urządzenie docelowe ładuje oprogramowanie szpiegujące, a cel nie jest świadomy instalacji, nad którą i tak nie ma kontroli.

To, jak chwali się broszura Pegasusa, jest unikatowością NSO, która znacząco odróżnia rozwiązanie Pegasus od wszelkich innych programów szpiegujących dostępnych na rynku.

Jakie urządzenia są podatne?

Praktycznie wszystkie urządzenia. iPhone'y były szeroko atakowane przez Pegasusa za pośrednictwem domyślnej aplikacji Apple iMessage oraz protokołu usługi powiadomień push (APNs), na którym są oparte. Oprogramowanie szpiegujące może podszywać się pod aplikację pobraną na iPhone'a i przesyłać się jako powiadomienia push za pośrednictwem serwerów Apple.

W sierpniu 2016 r. Citizen Lab, interdyscyplinarne laboratorium z Uniwersytetu w Toronto, zgłosiło istnienie Pegasusa firmie Lookout zajmującej się bezpieczeństwem cybernetycznym, a obie firmy zgłosiły zagrożenie dla Apple. W kwietniu 2017 r. Lookout i Google opublikowały szczegółowe informacje na temat wersji Pegasusa na Androida.

W październiku 2019 r. WhatsApp oskarżył NSO Group o wykorzystanie luki w swojej funkcji połączeń wideo. Użytkownik otrzymywał coś, co wyglądało na rozmowę wideo, ale nie była to normalna rozmowa. Gdy telefon zadzwonił, osoba atakująca potajemnie przesłała złośliwy kod w celu zainfekowania telefonu ofiary oprogramowaniem szpiegującym. Osoba ta nie musiała nawet odebrać telefonu, powiedział szef WhatsApp Will Cathcart.

W grudniu 2020 r. raport Citizen Lab sygnalizował, w jaki sposób urzędnicy rządowi wykorzystali Pegasusa do zhakowania 37 telefonów należących do dziennikarzy, producentów, prezenterów i dyrektorów w Al Jazeera i londyńskiej telewizji Al Araby TV w okresie lipiec-sierpień 2020 r., wykorzystując zero-day ( luka nieznana programistom) przeciwko przynajmniej iOS 13.5.1, która mogła włamać się do najnowszego wówczas iPhone’a 11. Chociaż atak nie zadziałał na iOS 14 i nowsze, raport stwierdza, że ​​zaobserwowane infekcje stanowiły prawdopodobnie znikomy ułamek wszystkich ataki, biorąc pod uwagę globalne rozprzestrzenienie się bazy klientów NSO Group i widoczną lukę w prawie wszystkich urządzeniach iPhone przed aktualizacją iOS 14.

Czy oprogramowanie szpiegujące zawsze dostaje się do dowolnego urządzenia, na które jest celem?

Zazwyczaj atakujący musi podać systemowi Pegasus tylko docelowy numer telefonu w celu wstrzyknięcia sieci. Reszta jest wykonywana automatycznie przez system, mówi broszura Pegasus, aw większości przypadków oprogramowanie szpiegujące jest instalowane.

Jednak w niektórych przypadkach iniekcje sieciowe mogą nie działać. Na przykład instalacja zdalna kończy się niepowodzeniem, gdy urządzenie docelowe nie jest obsługiwane przez system NSO lub jego system operacyjny jest uaktualniany o nowe zabezpieczenia.

Najwyraźniej jednym ze sposobów na uniknięcie Pegasusa jest zmiana domyślnej przeglądarki telefonu. Według broszury Pegasusa, instalacja z przeglądarek innych niż domyślne urządzenia (a także chrome dla urządzeń z systemem Android) nie jest obsługiwana przez system.

We wszystkich takich przypadkach instalacja zostanie przerwana, a przeglądarka urządzenia docelowego wyświetli wstępnie ustaloną nieszkodliwą stronę internetową, aby cel nie miał pojęcia o nieudanej próbie. Następnie atakujący prawdopodobnie skorzysta z przynęt na kliknięcia ESEM. Wszystko inne zawodzi, mówi broszura, Pegasus może zostać ręcznie wstrzyknięty i zainstalowany w mniej niż pięć minut, jeśli atakujący uzyska fizyczny dostęp do urządzenia docelowego.

Jakie informacje mogą zostać naruszone?

Po zainfekowaniu telefon staje się cyfrowym szpiegiem pod całkowitą kontrolą napastnika.

Po instalacji Pegasus kontaktuje się z serwerami dowodzenia i kontroli (C&C) atakującego, aby otrzymać i wykonać instrukcje oraz odesłać prywatne dane celu, w tym hasła, listy kontaktów, wydarzenia w kalendarzu, wiadomości tekstowe i połączenia głosowe na żywo (nawet za pośrednictwem -zaszyfrowane aplikacje do obsługi wiadomości). Atakujący może sterować kamerą i mikrofonem telefonu oraz korzystać z funkcji GPS do śledzenia celu.

Aby uniknąć nadmiernego zużycia przepustowości, które może ostrzegać cel, Pegasus wysyła tylko zaplanowane aktualizacje do serwera C&C. Oprogramowanie szpiegowskie ma na celu unikanie analizy kryminalistycznej, unikanie wykrycia przez oprogramowanie antywirusowe i może zostać dezaktywowane i usunięte przez atakującego, gdy zajdzie taka potrzeba.

Jakie środki ostrożności można podjąć?

Teoretycznie wnikliwa cyberhigiena może chronić przed przynętami ESEM. Ale kiedy Pegasus wykorzystuje lukę w systemie operacyjnym telefonu, nie można nic zrobić, aby powstrzymać wstrzykiwanie sieci. Co gorsza, nikt nawet nie będzie tego świadomy, chyba że urządzenie zostanie zeskanowane w cyfrowym laboratorium bezpieczeństwa.

Przejście na archaiczną słuchawkę, która umożliwia tylko podstawowe połączenia i wiadomości, z pewnością ograniczy narażenie na dane, ale może nie zmniejszyć znacząco ryzyka infekcji. Ponadto wszelkie alternatywne urządzenia używane do obsługi wiadomości e-mail i aplikacji pozostaną podatne na ataki, chyba że całkowicie zrezygnuje się z korzystania z tych podstawowych usług.

Dlatego najlepsze, co można zrobić, to być na bieżąco z każdą aktualizacją systemu operacyjnego i poprawką bezpieczeństwa wydawaną przez producentów urządzeń i mieć nadzieję, że ataki typu zero-day staną się rzadsze. A jeśli ktoś ma budżet, okresowa zmiana słuchawek jest prawdopodobnie najskuteczniejszym, choć kosztownym, środkiem zaradczym.

Ponieważ oprogramowanie szpiegujące znajduje się w sprzęcie, osoba atakująca będzie musiała skutecznie infekować nowe urządzenie za każdym razem, gdy zostanie ono zmienione. Może to stanowić wyzwanie zarówno logistyczne (koszt), jak i techniczne (aktualizacja zabezpieczeń). Chyba że przeciwstawiamy się nieograniczonym zasobom, zwykle związanym z władzą państwową.

Podziel Się Z Przyjaciółmi: