Pegasus wzięty pod lupę przez Amnesty International. Izraelczycy się tłumaczą

System Pegasus został wykorzystany do śledzenia dwójki Marokańczyków, którzy są znanymi obrońcami praw człowieka – donosi Amnesty International. Przypomnijmy, chodzi o to samo narzędzie, które rzekomo zakupiło polskie CBA.

Marokańscy obrońcy praw człowieka otrzymali wiadomości SMS zawierające linki do złośliwych witryn. Wizyta na którejkolwiek z nich inicjowała pobieranie Pegasusa, czytamy w raporcie. Jeden z aktywistów zorientował się w sytuacji, gdy odkrył przekierowanie z Yahoo na złośliwe strony. Ofiary to działacz społeczny Maâti Monjib oraz prawnik Abdessadak El Bouchattaoui, który stanął po stronie manifestantów z Hirak Rif.

Amnesty, jak twierdzi, nie jest w stanie ustalić, kto z Pegasusa skorzystał tym razem. Całą winę za ataki zrzuca natomiast na barki izraelskiej NSO, która szkodnika stworzyła.

Według przeprowadzonych badań i obserwacji, w ciągu kilku ostatnich lat Pegasus był stosowany wielokrotnie. Zaczęło się od dysydenta ze Zjednoczonych Emiratów Arabskich nazwiskiem Ahmed Mansoor. Mężczyznę śledzono już w latach 2013-14, ale potwierdzone wykorzystanie Pegasusa przypada na rok 2016. Wówczas, zdaniem Amnesty, podjęto próbę instalacji tego właśnie narzędzia na prywatnym iPhonie aktywisty poprzez podrzucenie linku.

Odnośnik prowadził ponoć do strony wykorzystującej aż trzy luki zero-day, znajdujące się w ówczesnej wersji systemu iOS. A to tylko wierzchołek góry lodowej.

Licząc sumarycznie wcześniejsze raporty Amnesty International, Univision i Citizen Lab z Uniwersytetu w Toronto, oprogramowanie szpiegujące NSO zdążyło naprzykrzyć się blisko 200 osobom. W tym gronie znajduje się m.in. 150 obywateli USA i krytyków opozycji wskazanych przez eksprezydenta Panamy, 22 dziennikarzy i aktywistów badających korupcję w meksykańskim rządzie, a także jeden naukowiec Amnesty International.

Jak widać, gremium ofiar jest bardzo szerokie i teoretycznie ofiarą Pegasusa może paść każdy. Zwłaszcza, że – według ostatnich informacji – NSO licencjonuje swoje oprogramowanie innym instytucjom i rządom. Brak roszczeń wobec Izraela niczego nie przekreśla.

Naukowcy przyznają, że ochrona przed Pegasusem jest niezwykle trudna, gdyż NSO aktywnie poszukuje kolejnych luk w systemach i oprogramowaniu. W maju wykorzystano na przykład lukę w komunikatorze WhatsApp, która obejmowała zarówno iOS, jak i Androida. Niedawno z kolei Google publicznie wyznało, że dysponuje dowodami na powiązania pomiędzy osobami aktywnie exploitującymi Androida a NSO.

Ataki na Marokańczyków rozpoczęły się, jak donosi Amnesty, nie później niż w listopadzie 2017 roku i trwały co najmniej do lipca 2019 roku, wykorzystując kilka różnych luk. Organizacja twierdzi, że wykorzystane przez napastników domeny, takie jak stopms.biz, infospress.com, revolution-news.co czy hmizat.co, są cechą szczególną NSO. Przynajmniej jedną z nich wcześniej wiązały z Izraelczykami inne jednostki badawcze.

Działacz Maâti Monjib odkrył, że coś jest nie tak, przeglądając na swym iPhonie historię Safari. Za każdym razem, gdy wpisywał adres nominalnie prowadzący do Yahoo, przeglądarka rejestrowała wizytę na jeszcze jednej stronie. Ustalił, że problemu nie ma wtedy, gdy odwiedzi Yahoo wyszukując je w innej wyszukiwarce. Jasnym stało się, że dochodzi do modyfikacji przesyłanego adresu, co stanowi wariację na temat ataku metodą man in the middle.

Specom z Amnesty udało się ustalić, że każde takie przekierowanie uaktywniało Pegasusa, przesyłając na serwer wrażliwe dane ze smartfonu Monjiba, w tym listę połączeń, wiadomości SMS i e-maile. Tymczasem sam działacz jest przekonany, że nigdy nie wszedł w żaden nieznany odnośnik. To z kolei doprowadziło do wniosku, że system Pegasus może także przechwytywać zapytania do serwera na poziomie infrastruktury. Innymi słowy: Złośliwe przekierowanie może ustawić wprost na stacji przekaźnikowej, bez wiedzy użytkownika.

Co na te wszystkie zarzuty NSO? Otóż agencja wydała oświadczenie. Nie zaprzecza żadnej z domniemanych przez Amnesty International funkcjonalności. Za to zapewnia, że działa wyłącznie w dobrej wierze. Śledzenie działaczy społecznych nazywa naruszeniem licencji. Obiecuje zbadać sprawę. Pełną treść sygnowanego przez NSO dokumentu znajdziecie poniżej.

Chcesz być bezpieczny w sieci? Przed takimi zagrożeniami jak opisane wyżej pomoże program BitDefender.