Czym tak naprawdę jest Pegasus i czy można się przed nim bronić?

Pegasus określany jest przez wielu mianem spyware, ale naszym zdaniem to coś więcej. To zaawansowana broń cybernetyczna, która w założeniach miała służyć do ujawniania najgroźniejszych przestępstw, w tym terroryzmu. Tak można by w skrócie określić to narzędzie, ale czym tak naprawdę ono jest i czy możliwa jest obrona przed nim?

Pegasus to tak naprawdę narzędzie umożliwiające pełną kontrolę nad wskazanym smartfonem. W tym przypadku mówimy o uprawnieniach, których nie ma nawet użytkownik telefonu. Gdy dostanie się do systemu operacyjnego, niezależnie, czy jest to iOS czy Android, narzędzie jest w stanie kontrolować każdy aspekt działania smartfona. Może włączyć kamerę, mikrofon, lokalizację GPS, przeczytać maile i SMSy, a nawet przechwytywać wprowadzane przez użytkownika hasła. Na dodatek, wszystko odbywa się tak, że właściciel telefonu nie jest w stanie się zorientować, że dzieje się cokolwiek niedobrego.

NSO Group, czyli producent Pegasusa, stworzył narzędzie, które działa na kilku poziomach. Pierwszym z nich jest przełamanie zabezpieczeń systemu operacyjnego smartfona, dzięki błędom, jakie programiści popełnili przy jego produkcji. Nie powstał jeszcze program, skomplikowany bardziej niż kilkanaście linii kodu, który byłby pozbawiony błędów. Stąd właśnie, w systemach operacyjnych smartfonów i komputerów, co chwilę łatane są dziury, które stanowią zagrożenie dla bezpieczeństwa danych i użytkowników.

Pegasus i błędy zero-click

Pół biedy, gdy błąd wykryją producenci systemu operacyjnego, czy ludzie zajmujący się wyszukiwaniem takich „otwartych drzwi”. Póki cyberprzestępcy i firmy takie jak NSO Group o nich nie wiedzą, jesteśmy względnie bezpieczni. Gorzej, gdy o takim problemie dowiedzą się służby wrogich krajów lub zwykli przestępcy czy producenci oprogramowania służącego do szpiegowania. W takiej sytuacji, dopóki system operacyjny nie zostanie załatany, a my nie zainstalujemy poprawki, nasz smartfon jest jak otwarta księga dla każdego, kto posiada odpowiednią wiedzę i narzędzia.

Pierwsze wzmianki o Pegasusie mają już 5 lat i wiemy, że narzędzie wykorzystywało linki przesyłane za pomocą iMessage lub innych komunikatorów, które musiał kliknąć użytkownik, aby udało się przejąć kontrolę nad jego smartfonem. Dziś, a dokładniej od kilku lat, nawet to nie jest wymagane. Właściciel telefonu nie musi w żaden sposób uczestniczyć w instalowaniu wrogiego programu. Pegasus wykorzystuje tak zwane błędy zero-click, które nie wymagają interakcji i pozwalają na instalację programu oraz „jailbreak” bez wiedzy posiadacza smarfona.

Aby było jeszcze groźniej, nawet jeśli nie da się przesłać na nasz telefon linku prowadzącego do narzędzia instalującego Pegasusa, istnieje jeszcze jedna możliwość zainstalowania wrogiego programu. Wykorzystywana jest do tego technika zwana man-in-the-middle (MITM). W takiej sytuacji atakujący podszywa się pod stację bazową, z którą komunikuje się nasz telefon i jest w stanie zmodyfikować dane, które on odbiera. Pozostaje tylko przekierowanie przeglądarki na niezabezpieczoną stronę, z której pobrany będzie niebezpieczny program.

Nie należy też zostawiać aparatu w miejscu, do którego mogą mieć dostęp osoby trzecie. Doniesienia mówią, że wystarczy 5 minut, aby zainstalować Pegasusa i nie jest przy tym jasne, czy smartfon musi być odblokowany. Pomijamy już fakt, że te kilka minut wystarczy też na fizyczne zainstalowanie urządzenia szpiegującego nasze działania.

Co może Pegasus?

Jednym słowem? Wszystko. Dosłownie wszystko. Może przejąć kontrolę nad każdym aspektem działania smatrfona. Uruchomić mikrofon i przesyłać nagrania pozyskane w ten sposób. To samo dotyczy kamery. W każdej chwili przekaże też lokalizację aparatu i jednocześnie jego właściciela. Potrafi również przejąć naszą skrzynkę email i nie tylko poznać jej zawartość, ale również wysyłać w naszym imieniu maile. Wszystko bez wiedzy użytkownika.

NSO Group twierdzi, że narzędzie sprzedawane jest tylko rządom i agencjom rządowym, które zajmują się śledzeniem i ujawnianiem najgroźniejszych przestępców. To tylko częściowo prawda, bo jak wiemy z doniesień, ktoś używał go do szpiegowania amerykańskich urzędników w Afryce. To z tego właśnie powodu firma znalazła się na czarnej liście USA, Apple pozwało NSO Group, a Izrael zakazał sprzedaży narzędzia do krajów autokratycznych, w tym Polski i Węgier.

Czy można się przed nim bronić?

Oczywiście. Problem w tym, że nie zawsze będzie to obrona skuteczna. O ile można nie klikać w linki przesłane przez nieznanych użytkowników, o tyle przed błędami zero-click oraz techniką MITM nie jesteśmy w stanie się chronić. Można jednak utrudnić życie sterującym działaniami Pegasusa. Pierwszym ze sposobów jest jak największe ograniczenie liczby aplikacji, które mamy zainstalowane na smartfonie. Im ich mniej, tym mniejsze szanse na otwarte drzwi, które może wykorzystać przeciwnik.

Regularne aktualizacje systemu operacyjnego, to druga i chyba najskuteczniejsza broń. Każda nowa wersja zawiera poprawki, które mogą pozbawić Pegasusa dostępu do naszego Smartfona. Na pewno nie zamyka wszystkich dróg, ale przynajmniej te, które już zna producent naszego telefonu i Google lub Apple. Warto więc sprawdzać, czy nie pojawiła się nowa wersja systemu operacyjnego i zainstalować ją, gdy tylko będzie to możliwe.

Zupełnie nieoczywistym sposobem na pozbycie się potencjalnego szpiega z naszego smartfona jest regularne wyłączanie urządzenia, a nawet jego pełny reset przywracający ustawienia fabryczne. Tego ostatniego Pegasus nie jest w stanie przeżyć i powtórne śledzenie naszych poczynań wymagać będzie od operatora ponownego infekowania aparatu.

Pamiętać trzeba o jednym. My, szarzy użytkownicy smartfonów, nie jesteśmy w stanie w prosty sposób stwierdzić, czy Pegasus znajduje się na naszym telefonie. Jest narzędzie, które do tego służy, ale nie każdy będzie miał czas i zdolności, aby go użyć. Jeśli mamy podejrzenia, że nasz smartfon mógł paść ofiarą Pegasusa, zawsze możemy wyłączyć aparat i zostawić go poza zasięgiem głosu i wizji. Powyższe rady kierujemy szczególnie do dziennikarzy walczących o prawa człowieka, bo to ich najczęściej inwigilował Pegasus, czego dowiodło śledztwo przeprowadzone przez Amnesty International, a potwierdziły badania wykonane przez Citizen Lab.

Źródło: Amnesty International, Trend Micro, własne