Forklart: Hvordan Pegasus spyware infiserer en enhet; hvilke data som kan være kompromittert

Project Pegasus: Den israelske spionvaren, avslørt å ha blitt brukt til å målrette mot hundrevis av telefoner i India, har blitt mindre avhengig av klikk. Pegasus kan infisere en enhet uten målets engasjement eller kunnskap.

Pegasus er NSO Groups flaggskipprodukt (ekspressillustrasjon)

I november 2019 fotograferte en teknologireporter fra New York City en avlyttingsenhet som ble vist på Milipol, en messe for hjemlandssikkerhet i Paris. Utstilleren, NSO Group, plasserte maskinvaren på baksiden av en varebil, noe som kanskje antydet bekvemmeligheten av portabilitet, og sa at den ikke ville fungere på amerikanske telefonnumre, muligens på grunn av en selvpålagt begrensning fra firmaet.

Siden den israelske cybergiganten ble grunnlagt i 2010, var det sannsynligvis første gang en NSO-laget bærbar basetransceiverstasjon (BTS) ble omtalt i en medierapport.

En BTS - eller 'rogue cell tower' eller 'IMSI Catcher' eller 'stingray' - etterligner legitime mobiltårn og tvinger mobiltelefoner innenfor en radius til å koble seg til den, slik at den avlyttede trafikken kan manipuleres av en angriper. BTS-en som ble fotografert i 2019 var sammensatt av horisontalt stablede kort, som sannsynligvis vil tillate avlytting over flere frekvensbånd.

Det andre alternativet er å utnytte tilgangen til målets mobiloperatør selv. I det scenariet ville en angriper ikke trenge noe useriøst mobiltårn, men ville stole på den vanlige nettverksinfrastrukturen for manipulasjon.

Uansett, muligheten til å starte 'nettverksinjeksjon' -angrep - utført eksternt uten målets engasjement (derav også kalt null-klikk ) eller kunnskap —ga Pegasus , NSO Groups flaggskipprodukt, en unik fordel i forhold til sine konkurrenter på det globale spywaremarkedet.

Pegasus er nå i sentrum av et globalt etterforskningsprosjekt som har funnet ut at spionprogrammet ble brukt til å målrette mot bl.a. hundrevis av mobiltelefoner i India .

Hvordan er Pegasus forskjellig fra andre spionprogrammer?

Pegasus alias Q Suite, markedsført av NSO Group alias Q Cyber ​​Technologies som en verdensledende cyberetterretningsløsning som gjør det mulig for rettshåndhevelse og etterretningsbyråer å eksternt og skjult trekke ut data fra praktisk talt alle mobile enheter, ble utviklet av veteraner fra israelske etterretningsbyråer.

Inntil tidlig i 2018 stolte NSO Group-klienter primært på SMS- og WhatsApp-meldinger for å lure mål til å åpne en ondsinnet kobling, noe som ville føre til infeksjon av deres mobile enheter. En Pegasus-brosjyre beskrev dette som Enhanced Social Engineering Message (ESEM). Når en ondsinnet lenke pakket som ESEM klikkes, blir telefonen dirigert til en server som sjekker operativsystemet og leverer den passende eksterne utnyttelsen.

I sin rapport fra oktober 2019 dokumenterte Amnesty International for første gang bruk av 'nettverksinjeksjoner' som gjorde det mulig for angripere å installere spyware uten å kreve noen interaksjon fra målet. Pegasus kan oppnå slike null-klikk-installasjoner på ulike måter. Et over-the-air-alternativ (OTA) er å sende en push-melding skjult som får målenheten til å laste inn spyware, med målet uvitende om installasjonen som hun uansett ikke har kontroll over.

Dette, skryter en Pegasus-brosjyre, er NSOs unikhet, som skiller Pegasus-løsningen betydelig fra alle andre spionprogrammer tilgjengelig på markedet.

Hva slags enheter er sårbare?

Alle enheter, praktisk talt. iPhones har vært mye målrettet mot Pegasus gjennom Apples standard iMessage-app og Push Notification Service-protokollen (APNs) som den er basert på. Spionvaren kan etterligne en applikasjon som er lastet ned til en iPhone og overføre seg selv som push-varsler via Apples servere.

I august 2016 rapporterte Citizen Lab, et tverrfaglig laboratorium basert ved University of Toronto, eksistensen av Pegasus til nettsikkerhetsfirmaet Lookout, og de to flagget trusselen til Apple. I april 2017 ga Lookout og Google ut detaljer om en Android-versjon av Pegasus.

I oktober 2019 beskyldte WhatsApp NSO-gruppen for å utnytte en sårbarhet i videosamtalefunksjonen. En bruker ville motta det som så ut til å være en videosamtale, men dette var ikke en vanlig samtale. Etter at telefonen ringte, overførte angriperen i all hemmelighet ondsinnet kode i et forsøk på å infisere offerets telefon med spyware. Personen trengte ikke engang å svare på samtalen, sa WhatsApp-sjef Will Cathcart.

Kevin Costner nettoverdi 2019

I desember 2020 flagget en Citizen Lab-rapport hvordan regjeringsoperatører brukte Pegasus til å hacke 37 telefoner som tilhører journalister, produsenter, ankere og ledere ved Al Jazeera og London-baserte Al Araby TV i juli-august 2020, og utnyttet en nulldag ( en sårbarhet ukjent for utviklere) mot minst iOS 13.5.1 som kan hacke Apples daværende nyeste iPhone 11. Selv om angrepet ikke fungerte mot iOS 14 og nyere, sa rapporten at infeksjonene den observerte sannsynligvis var en liten brøkdel av totalen angrep, gitt den globale spredningen av NSO-gruppens kundebase og den tilsynelatende sårbarheten til nesten alle iPhone-enheter før iOS 14-oppdateringen.

Kommer spionvaren alltid inn i en hvilken som helst enhet den retter seg mot?

Vanligvis trenger en angriper å mate Pegasus-systemet bare måltelefonnummeret for en nettverksinjeksjon. Resten gjøres automatisk av systemet, heter det i en Pegasus-brosjyre, og spyware er installert i de fleste tilfeller.

I noen tilfeller kan det imidlertid hende at nettverksinjeksjoner ikke fungerer. For eksempel mislykkes ekstern installasjon når målenheten ikke støttes av NSO-systemet, eller operativsystemet oppgraderes med nye sikkerhetsbeskyttelser.

Tilsynelatende er en måte å unngå Pegasus på å endre ens standard nettleser på telefonen. I følge en Pegasus-brosjyre støttes ikke installasjon fra andre nettlesere enn enhetens standard (og også chrome for Android-baserte enheter) av systemet.

I alle slike tilfeller vil installasjonen avbrytes og nettleseren til målenheten vil vise en forhåndsbestemt ufarlig nettside slik at målet ikke har en anelse om det mislykkede forsøket. Deretter vil en angriper sannsynligvis falle tilbake på ESEM-klikk-agn. Alt annet feiler, sier brosjyren, Pegasus kan injiseres manuelt og installeres på mindre enn fem minutter hvis en angriper får fysisk tilgang til målenheten.

Hvilken informasjon kan kompromitteres?

Når en telefon er infisert, blir den en digital spion under angriperens fulle kontroll.

Ved installasjon kontakter Pegasus angriperens kommando- og kontrollservere (C&C) for å motta og utføre instruksjoner og sende tilbake målets private data, inkludert passord, kontaktlister, kalenderhendelser, tekstmeldinger og direkte taleanrop (selv de via ende til -sluttkrypterte meldingsapper). Angriperen kan kontrollere telefonens kamera og mikrofon, og bruke GPS-funksjonen til å spore et mål.

For å unngå omfattende båndbreddeforbruk som kan varsle et mål, sender Pegasus kun planlagte oppdateringer til en C&C-server. Spionvaren er utviklet for å unngå rettsmedisinske analyser, unngå oppdagelse av antivirusprogramvare, og kan deaktiveres og fjernes av angriperen, når og om nødvendig.

Hvilke forholdsregler kan man ta?

Teoretisk sett kan skarp cyberhygiene beskytte mot ESEM-agn. Men når Pegasus utnytter en sårbarhet i telefonens operativsystem, er det ingenting man kan gjøre for å stoppe en nettverksinjeksjon. Verre, man vil ikke engang være klar over det med mindre enheten skannes på et digitalt sikkerhetslaboratorium.

Å bytte til et arkaisk håndsett som bare tillater grunnleggende samtaler og meldinger vil absolutt begrense dataeksponering, men vil kanskje ikke redusere infeksjonsrisikoen betydelig. Alle alternative enheter som brukes til e-poster og apper vil forbli sårbare med mindre man helt gir avkall på å bruke disse essensielle tjenestene.

Derfor er det beste man kan gjøre å holde seg oppdatert med hver operativsystemoppdatering og sikkerhetsoppdatering utgitt av enhetsprodusenter, og håpe at nulldagsangrep blir sjeldnere. Og hvis man har budsjettet, er det å bytte håndsett med jevne mellomrom kanskje det mest effektive, om enn dyrt, middelet.

Siden spionvaren ligger i maskinvaren, må angriperen med hell infisere den nye enheten hver gang en endres. Det kan utgjøre både logistiske (kostnads) og tekniske (sikkerhetsoppgradering) utfordringer. Med mindre man er oppe mot ubegrensede ressurser, vanligvis forbundet med statsmakt.

Del Med Vennene Dine: