Pegasus. Jak działa i z czego wynika brak pełnych informacji

Ostatnio na łamach DobrychProgramów już kilkakrotnie pisaliśmy o systemie szpiegującym Pegasus. Wciąż jednak pytacie jak działa i czy powinniśmy czuć się zagrożeni. Jak to wygląda od strony technicznej, ile wiemy o działaniu Pegasusa?

Dla przypomnienia - Pegasus to system inwigilacji stworzony przez izraelską firmę NSO Group. Został zaprojektowany w celu użytkowania przez służby kontrwywiadowcze i antyterrorystyczne. Nie jest narzędziem, którym posługują się cyberprzestępcy. Firma sprzedaje go organizacjom rządowym z całego świata, chociaż naturalnie z pominięciem pewnym newralgicznych krajów, w których stosuje się negatywne praktyki (np. wykluczona jest sprzedaż do Korei Północnej). Ma już za sobą przynajmniej kilka lat historii.

Pierwsze wzmianki na temat Pegasusa usłyszeliśmy, kiedy w 2016 roku próbowano włamać się do działacza na rzecz obrony praw człowieka w jednym z arabskich krajów (niepokoi fakt, że NSO Group sprzedało licencję do państwa, gdzie bywają ścigani obrońcy praw człowieka). Od dawna był na celowniku i nie raz spotkał się z próbami cyberataków, więc próba tamtejszych służb była nieudana. Zaniepokojony powiadomił Citizen Lab, którego eksperci przyjrzeli się potencjalnemu zagrożeniu.

Ich badania wykryły obecność Pegasusa w wielu krajach, w tym w Polsce. Jednak kraj na mapie działania systemu nie oznacza automatycznie jego kupna w tamtym miejscu. Np. zagraniczny wywiad może monitorować osoby (nie muszą być nawet obywatelami tego kraju) znajdujące się w zupełnie innym miejscu świata.

Wspominany działacz dostał wiadomość z dziwnym linkiem. Gdyby wszedł w odnośnik, na jego smartfon (był to iPhone) wskoczyłoby złośliwe oprogramowanie i po zainfekowaniu urządzenia wysyłałoby wrażliwe dane autorom ataku. Oprogramowanie szpiegujące obchodzi zabezpieczenia systemu operacyjnego (w tamtym wypadku iOS od Apple) korzystając z newralgicznych luk bezpieczeństwa, których nie jest świadomy producent systemu.

Znamy luki, z jakiś niegdyś korzystał Pegasus. Początkowo myślano, że infekuje tylko iPhony, ale obecnie sądzi się, że działa również na Androidzie, a nawet systemach Microsoftu. Jeśli pytacie, jak dokładnie teraz złośliwy program dostaje się do telefonu, to niestety nie znajdziecie odpowiedzi. Najpewniej znów trzeba np. kliknąć w link do pobrania kodu Pegasusa czy może otworzyć odnośnik w mailu. Nie możemy być pewni w 100% obecnej metody.

Dlaczego nie mamy konkretów (a przynajmniej na temat bieżącego schematu działania)? Jeśli kiedyś system korzystał z później dostrzeżonych przez świat (a w zasadzie Citizen Lab, które powiadomiło Apple) luk i metod infekcji, to programiści z NSO Group po wydaniu stosownych łatek przez Apple musieli ponownie szukać niedociągnięć systemu (ewentualnie opracowywać samą aktualizację Pegasusa, o ile znali więcej luk i mieli jakieś wcześniej odkryte pozostawione na „czarną godzinę”) oraz wprowadzić nowy mechanizm infekcji.

W końcu firma zarabia ogromne pieniądze i utrzymuje się współpracując ze służbami specjalnymi czy innymi mundurowymi różnych krajów. Musi zagwarantować działanie swojej technologii, nawet kiedy producent systemu operacyjnego danego urządzenia wprowadzi aktualizacje bezpieczeństwa mogące przeciwdziałać pracy Pegasusa.

Na pewno klienci (jednym z nich może być CBA) nie byliby zadowoleni, gdyby przerwy w działaniu były częste i dokładne mechanizmy infekcji raz po raz wypływałyby w mediach. To by zbyt często utrudniało działania służb.

Jakie informacje może przekazywać Pegasus? Nie raz pisze się o nim jako o systemie inwigilacji totalnej. W pewnym sensie jest to prawda. Nie chodzi o zasięg działania (to nie masowe podsłuchiwanie całej populacji kraju, tylko ataki wymierzone w konkretne osoby), ale możliwości na zainfekowanym urządzeniu.

Na serwery włamujących się służb mundurowych program może przesyłać w zasadzie dowolne dane takie jak chociażby: informacje o lokalizacji, emaile/SMS/rozmowy z komunikatorów i dane mediów społecznościowych, historię przeglądanych stron, szczegóły dotyczące sieci komórkowej lub WiFi, ustawienia urządzenia, pliki z pamięci sprzętu, treść rozmów telefonicznych, zdjęcia, a nawet bieżące monitorowanie mikrofonu i aparatu, więc zdalny podgląd i podsłuch. Nawet programy korzystające z szyfrowanych połączeń i plików nie są bezpieczne.

Mówiło się także o możliwym szpiegowaniu różnych usług chmurowych. Pegasus miały kopiować dane niezbędne do autoryzacji logowania się na nie konkretnej sztuki urządzenia i aplikacji. Wtedy technicy służb specjalnych, którzy chcieliby wejść w pliki inwigilowanej osoby, byliby rozpoznawani np. jako jej smartfon i odpalona oraz już zalogowana na nim oficjalna aplikacja danej chmury. Wtedy pomagałaby np. zmiana hasła lub wylogowanie urządzeń, ale naturalnie technicy mogliby znów spróbować uzyskać dostęp.

Niepokojący jest fakt, że nie wiadomo, czy obecnie aktualizacje wystarczą do pozbycia się złośliwego kodu, o ile takowy już tkwi w urządzeniu. Mechanizm po aktualizacji może być dwojaki. Poprawki bezpieczeństwa (o ile akurat stosują się do luk, z których aktualnie korzysta Pegasus) mogą uniemożliwić instalację programu na nowych, jeszcze niezainfekowanych sprzętach i przerywać działanie Pegasusa na już będących pod jego wpływem. Naturalnie zacząć trzeba od tego, że musimy mieć urządzenie, który ciągle dostaje aktualizacje i ich nie lekceważyć.

Oczywiście każda poprawka producenta OSu może mieć inne cechy wpływające na program do inwigilacji. Inna możliwość to taka, kiedy poprawki jedynie przeciwdziałają nowym wtargnięciom, a te przypadki, kiedy służby mają już kontrolę, nie zostają wyleczone. I tutaj mamy kolejne rozgałęzienie. Czy czyszczenie telefonu do stanu fabrycznego wystarczy, czy trzeba na nowo flashować oprogramowanie?

Na te pytania nie mamy odpowiedzi. Tak długo jak NSO Group będzie sprawować pieczę nad Pegazusem, nie wszystko wyjdzie na jaw. A przynajmniej wykryte informacje o systemie inwigilacji będą się dezaktualizować po modyfikacjach wprowadzanych przez NSO Group.

Po prostu, trzeba zachowywać się rozważnie, tak samo jak przy chęci uniknięcia zainfekowania urządzenia wirusami zwykłych cyberprzestępców. Nie przeglądać, a szczególnie nie otwierać plików z podejrzanych wiadomości, nie rozmawiać z przypadkowymi dziwnymi ludźmi przez komunikatory, nie wchodzić na podejrzane strony i tak dalej.

Z drugiej strony, czy naprawdę mamy się czego realnie obawiać? Pegasus jest używany do inwigilacji przestępców, terrorystów czy agentów obcych wywiadów. Zawsze mogą zdarzyć się pomyłki czy nadużycia, ale też nie popadajmy w skrajności, że służby monitorują tak na zapas przypadkowych obywateli. W końcu jak ustalono, każdy jeden inwigilowany cel to jedna licencja, a ta kosztuje aż w okolicach 100 tysięcy złotych.

Źródło: Niebezpiecznik, Citizen Lab (w tym grafika), Dobreprogramy