Förklarat: Hur Pegasus spionprogram infekterar en enhet; vilka data som kan äventyras

Project Pegasus: Det israeliska spionprogrammet, som visade sig ha använts för att rikta in sig på hundratals telefoner i Indien, har blivit mindre beroende av klick. Pegasus kan infektera en enhet utan målets engagemang eller vetskap.

Pegasus är NSO Groups flaggskeppsprodukt (Express illustration)

I november 2019 fotograferade en teknisk reporter från New York City en avlyssningsanordning som visades upp på Milipol, en mässa för inrikessäkerhet i Paris. Utställaren, NSO Group, placerade hårdvaran på baksidan av en skåpbil, vilket kanske tydde på bekvämlighet med portabilitet, och sa att det inte skulle fungera på amerikanska telefonnummer, möjligen på grund av en självpåtagen begränsning av företaget.

Sedan den israeliska cyberjätten grundades 2010 var det förmodligen första gången en NSO-tillverkad bärbar bastransceiverstation (BTS) presenterades i en mediarapport.

En BTS - eller 'rogue cell tower' eller 'IMSI Catcher' eller 'stingray' - imiterar legitima mobiltorn och tvingar mobiltelefoner inom en radie att ansluta till den, så att den avlyssnade trafiken kan manipuleras av en angripare. BTS som fotograferades 2019 var sammansatt av horisontellt staplade kort, som troligen tillåter avlyssning över flera frekvensband.

Det andra alternativet är att utnyttja åtkomsten till själva målets mobiloperatör. I det scenariot skulle en angripare inte behöva något oseriöst mobiltorn utan skulle förlita sig på den vanliga nätverksinfrastrukturen för manipulation.

Hur som helst, förmågan att starta attacker med 'nätinjektion' - utförs på distans utan målets engagemang (därav också kallas nollklick ) eller kunskap —gav Pegasus , NSO Groups flaggskeppsprodukt, en unik fördel gentemot sina konkurrenter på den globala spionprogrammarknaden.

Pegasus står nu i centrum för ett globalt samarbetsutredningsprojekt som har funnit att spionprogrammet användes för att rikta in sig på bl.a. hundratals mobiltelefoner i Indien .

Hur skiljer sig Pegasus från andra spionprogram?

Pegasus aka Q Suite, marknadsförs av NSO Group aka Q Cyber ​​Technologies som en världsledande cyberintelligenslösning som gör det möjligt för brottsbekämpande och underrättelsemyndigheter att på distans och i hemlighet extrahera data från praktiskt taget alla mobila enheter, utvecklades av veteraner från israeliska underrättelsetjänster.

Fram till början av 2018 förlitade sig NSO Group-klienter främst på SMS och WhatsApp-meddelanden för att lura mål att öppna en skadlig länk, vilket skulle leda till infektion av deras mobila enheter. En Pegasus-broschyr beskrev detta som Enhanced Social Engineering Message (ESEM). När en skadlig länk paketerad som ESEM klickas, dirigeras telefonen till en server som kontrollerar operativsystemet och levererar lämplig fjärrexploatering.

I sin rapport från oktober 2019 dokumenterade Amnesty International först användningen av 'nätverksinjektioner' som gjorde det möjligt för angripare att installera spionprogram utan att kräva någon interaktion från målet. Pegasus kan åstadkomma sådana nollklicksinstallationer på olika sätt. Ett OTA-alternativ är att skicka ett push-meddelande i hemlighet som får målenheten att ladda spionprogrammet, med målet omedvetet om installationen som hon ändå inte har någon kontroll över.

Detta, en Pegasus-broschyr, skryter om, är NSO-unik, som avsevärt skiljer Pegasus-lösningen från alla andra spionprogram som finns på marknaden.

Vilken typ av enheter är sårbara?

Alla enheter, praktiskt taget. iPhones har blivit mycket riktade mot Pegasus genom Apples standard iMessage-app och Push Notification Service-protokollet (APNs) som den är baserad på. Spionprogrammet kan imitera en applikation som laddats ner till en iPhone och överföra sig själv som push-meddelanden via Apples servrar.

I augusti 2016 rapporterade Citizen Lab, ett tvärvetenskapligt laboratorium baserat vid University of Toronto, förekomsten av Pegasus till cybersäkerhetsföretaget Lookout, och de två flaggade hotet mot Apple. I april 2017 släppte Lookout och Google detaljer om en Android-version av Pegasus.

I oktober 2019 anklagade WhatsApp NSO-gruppen för att ha utnyttjat en sårbarhet i sin videosamtalsfunktion. En användare skulle ta emot vad som verkade vara ett videosamtal, men detta var inte ett normalt samtal. Efter att telefonen ringt, överförde angriparen i hemlighet skadlig kod i ett försök att infektera offrets telefon med spionprogram. Personen behövde inte ens svara på samtalet, sa WhatsApp-chefen Will Cathcart.

hur gammal är keven undergaro

I december 2020 flaggade en Citizen Lab-rapport hur regeringsoperatörer använde Pegasus för att hacka 37 telefoner som tillhörde journalister, producenter, ankare och chefer på Al Jazeera och Londonbaserade Al Araby TV under juli-augusti 2020, och utnyttjade en nolldag ( en sårbarhet okänd för utvecklare) mot åtminstone iOS 13.5.1 som kan hacka Apples då senaste iPhone 11. Även om attacken inte fungerade mot iOS 14 och senare, sa rapporten att infektionerna som den observerade förmodligen var en liten bråkdel av det totala antalet attacker, med tanke på den globala spridningen av NSO-gruppens kundbas och den uppenbara sårbarheten hos nästan alla iPhone-enheter före iOS 14-uppdateringen.

Kommer spionprogrammet alltid in i någon enhet som den riktar sig till?

Vanligtvis behöver en angripare mata Pegasus-systemet bara måltelefonnumret för en nätverksinjektion. Resten görs automatiskt av systemet, säger en Pegasus-broschyr, och spionprogrammet installeras i de flesta fall.

I vissa fall kanske nätverksinjektioner inte fungerar. Till exempel misslyckas fjärrinstallationen när målenheten inte stöds av NSO-systemet, eller dess operativsystem uppgraderas med nya säkerhetsskydd.

Tydligen är ett sätt att undvika Pegasus att ändra sin standardtelefonwebbläsare. Enligt en Pegasus-broschyr stöds inte installation från andra webbläsare än enhetens standard (och även chrome för Android-baserade enheter) av systemet.

I alla sådana fall kommer installationen att avbrytas och målenhetens webbläsare kommer att visa en förutbestämd ofarlig webbsida så att målet inte har en aning om det misslyckade försöket. Därefter kommer en angripare sannolikt att falla tillbaka på ESEM-klickbeten. Allt annat misslyckas, säger broschyren, kan Pegasus injiceras manuellt och installeras på mindre än fem minuter om en angripare får fysisk tillgång till målenheten.

Vilken information kan äventyras?

När en telefon väl är infekterad blir den en digital spion under angriparens fullständiga kontroll.

Vid installationen kontaktar Pegasus angriparens kommando- och kontrollservrar (C&C) för att ta emot och utföra instruktioner och skicka tillbaka målets privata data, inklusive lösenord, kontaktlistor, kalenderhändelser, textmeddelanden och live-röstsamtal (även de via slut-till -slutkrypterade meddelandeappar). Angriparen kan styra telefonens kamera och mikrofon och använda GPS-funktionen för att spåra ett mål.

För att undvika omfattande bandbreddsförbrukning som kan varna ett mål, skickar Pegasus endast schemalagda uppdateringar till en C&C-server. Spionprogrammet är utformat för att undvika kriminalteknisk analys, undvika upptäckt av antivirusprogram och kan inaktiveras och tas bort av angriparen, när och om det behövs.

Vilka försiktighetsåtgärder kan man vidta?

Teoretiskt sett kan skarp cyberhygien skydda mot ESEM-beten. Men när Pegasus utnyttjar en sårbarhet i ens telefons operativsystem finns det inget man kan göra för att stoppa en nätverksinjektion. Ännu värre, man kommer inte ens att vara medveten om det om inte enheten skannas i ett digitalt säkerhetslabb.

Att byta till en ålderdomlig handenhet som endast tillåter grundläggande samtal och meddelanden kommer säkert att begränsa dataexponeringen, men kanske inte avsevärt minska infektionsrisken. Dessutom kommer alla alternativa enheter som används för e-post och appar att förbli sårbara om man inte helt avstår från att använda dessa viktiga tjänster.

Därför är det bästa man kan göra att hålla sig uppdaterad med varje operativsystemuppdatering och säkerhetskorrigering som släpps av enhetstillverkare, och hoppas att nolldagsattacker blir sällsynta. Och om man har budgeten är det kanske mest effektiva, om än dyrt, att byta telefon med jämna mellanrum.

Eftersom spionprogrammet finns i hårdvaran måste angriparen framgångsrikt infektera den nya enheten varje gång man byter. Det kan innebära både logistiska (kostnads) och tekniska (säkerhetsuppgradering) utmaningar. Såvida man inte står emot obegränsade resurser, vanligtvis förknippade med statsmakt.

Dela Med Dina Vänner: