Pegasus

Коротко: Крайне сложный коммерческий шпионский софт израильской компании NSO Group — он нередко может полностью скомпрометировать смартфоны без какого-либо действия жертвы («zero-click»).

Подробнее: Pegasus использует дорогие, ранее неизвестные дыры в безопасности (zero-day эксплойты) в приложениях вроде iMessage или WhatsApp, чтобы установиться без того, чтобы жертва переходила по ссылке или открывала файл. Официально он продаётся только правительствам, но неоднократно оказывался в центре скандалов о слежке за журналистами и активистами.

Подробности

Типичный ход атаки Pegasus через так называемую zero-click дыру:

1. Атакующий отправляет на целевое устройство специально
   подготовленное сообщение (например, iMessage, WhatsApp)
2. Сообщение использует неизвестную, не закрытую дыру
   в безопасности (zero-day) в мессенджере
3. Вредоносный код выполняется БЕЗ того, чтобы жертва
   открывала сообщение или вообще как-то реагировала
4. Pegasus получает root-доступ ко всему устройству
5. Доступ к микрофону, камере, сообщениям, местоположению,
   контактам — всё в реальном времени, незаметно для жертвы

Zero-click делает Pegasus особенно опасным: классические советы по безопасности («не переходите по подозрительным ссылкам», «не открывайте неизвестные вложения») здесь не помогают, потому что от жертвы вообще не требуется действий. Такие атаки почти невозможно предотвратить поведением пользователя — защита практически возможна лишь быстрой установкой обновлений безопасности, как только производитель закрывает использованную дыру.

NSO Group официально продаёт Pegasus исключительно государственным органам для борьбы с терроризмом и тяжкими преступлениями — однако расследования сетей журналистов (в том числе «Проект Pegasus» 2021 года) показали, что ПО неоднократно применялось и против журналистов, правозащитников, юристов и оппозиционных политиков, что вызвало резкую международную критику и санкции против компании.

Миллиардный рынок zero-day эксплойтов

Pegasus — лишь самый известный представитель процветающего, в основном легального рынка «zero-day» уязвимостей (см. Zero-day): специализированные компании и отдельные исследователи продают ранее не обнаруженные уязвимости в популярном ПО (операционные системы, мессенджеры, браузеры) за шести- и семизначные суммы государственным органам, спецслужбам или компаниям безопасности вроде NSO Group — вместо того чтобы сообщить об этом затронутому производителю для исправления (ответственное раскрытие). Этот рынок находится в принципиальном этическом противоречии: чем дольше дыра остаётся необнаруженной и неисправленной, тем дольше все НЕпредусмотренные цели (обычные пользователи того же ПО) уязвимы для ЛЮБОГО, кто независимо найдёт ту же дыру.

Техническая работа подробнее

Zero-click эксплойты вроде тех, что у Pegasus, обычно используют слабости в обработке входящих данных — например, в предпросмотре изображений или файлов в мессенджерах, который выполняется автоматически сразу при получении сообщения, ещё до того, как пользователь его откроет. Известный пример — уязвимость «FORCEDENTRY» (2021) в обработке изображений iMessage от Apple, позволявшая выполнить код на целевом устройстве уже при ПОЛУЧЕНИИ специально подготовленного файла (без открытия). Apple ответила BlastDoor — дополнительной песочницей безопасности специально для входящего содержимого iMessage, которая должна затруднить именно такие атаки, изолируя входящие данные и обрабатывая их с сильно урезанными правами до того, как они достигнут остальной системы.

Обнаружение и меры защиты для пострадавших

Поскольку Pegasus разработан так, чтобы оставаться незамеченным, обнаружить его постфактум трудно — специализированные организации, такие как Citizen Lab (Университет Торонто) и Security Lab Amnesty International, разработали криминалистические методы выявления следов заражения в журналах устройств, нередко лишь спустя месяцы после атаки. Для особо уязвимых людей (журналисты, активисты, оппозиционные политики) эксперты по безопасности рекомендуют так называемый «режим блокировки» современных смартфонов (крайне строгая настройка безопасности, отключающая множество поверхностей атаки ценой урезанной функциональности), а также последовательную и быструю установку обновлений безопасности, так как производители регулярно закрывают ставшие известными дыры Pegasus.

См. также: Шпионское ПО, Zero-day