Pegasus

Коротко: Надзвичайно складне комерційне шпигунське ПЗ ізраїльської компанії NSO Group — воно нерідко може повністю скомпрометувати смартфони без жодної дії жертви («zero-click»).

Докладніше: Pegasus використовує дорогі, раніше невідомі діри в безпеці (zero-day експлойти) у застосунках на кшталт iMessage чи WhatsApp, щоб встановитися без того, щоб жертва переходила за посиланням чи відкривала файл. Офіційно його продають лише урядам, але він неодноразово опинявся в центрі скандалів про стеження за журналістами й активістами.

Подробиці

Типовий перебіг атаки Pegasus через так звану zero-click діру:

1. Зловмисник надсилає на цільовий пристрій спеціально
   підготовлене повідомлення (наприклад, iMessage, WhatsApp)
2. Повідомлення використовує невідому, не закриту діру
   в безпеці (zero-day) у месенджері
3. Шкідливий код виконується БЕЗ того, щоб жертва
   відкривала повідомлення чи взагалі якось реагувала
4. Pegasus отримує root-доступ до всього пристрою
5. Доступ до мікрофона, камери, повідомлень, місцеперебування,
   контактів — усе в реальному часі, непомітно для жертви

Zero-click робить Pegasus особливо небезпечним: класичні поради з безпеки («не переходьте за підозрілими посиланнями», «не відкривайте невідомі вкладення») тут не допомагають, бо від жертви взагалі не потрібні дії. Такі атаки майже неможливо запобігти поведінкою користувача — захист практично можливий лише швидким встановленням оновлень безпеки, щойно виробник закриває використану діру.

NSO Group офіційно продає Pegasus виключно державним органам для боротьби з тероризмом і тяжкими злочинами — однак розслідування мереж журналістів (зокрема «Проєкт Pegasus» 2021 року) показали, що ПЗ неодноразово застосовували й проти журналістів, правозахисників, юристів та опозиційних політиків, що викликало різку міжнародну критику й санкції проти компанії.

Мільярдний ринок zero-day експлойтів

Pegasus — лише найвідоміший представник квітучого, переважно легального ринку «zero-day» вразливостей (див. Zero-day): спеціалізовані компанії та окремі дослідники продають раніше не виявлені вразливості в популярному ПЗ (операційні системи, месенджери, браузери) за шести- та семизначні суми державним органам, спецслужбам або компаніям безпеки на кшталт NSO Group — замість того щоб повідомити про це постраждалого виробника для виправлення (відповідальне розкриття). Цей ринок перебуває в принциповій етичній суперечності: що довше діра лишається невиявленою й невиправленою, то довше всі НЕпередбачені цілі (звичайні користувачі того самого ПЗ) вразливі для БУДЬ-КОГО, хто незалежно знайде ту саму діру.

Технічна робота докладніше

Zero-click експлойти на кшталт тих, що в Pegasus, зазвичай використовують слабкості в обробці вхідних даних — наприклад, у попередньому перегляді зображень чи файлів у месенджерах, який виконується автоматично одразу після отримання повідомлення, ще до того, як користувач його відкриє. Відомий приклад — вразливість «FORCEDENTRY» (2021) в обробці зображень iMessage від Apple, що дозволяла виконати код на цільовому пристрої вже під час ОТРИМАННЯ спеціально підготовленого файлу (без відкриття). Apple відповіла BlastDoor — додатковою пісочницею безпеки спеціально для вхідного вмісту iMessage, яка має ускладнити саме такі атаки, ізолюючи вхідні дані й обробляючи їх зі значно урізаними правами, перш ніж вони досягнуть решти системи.

Виявлення й заходи захисту для постраждалих

Оскільки Pegasus розроблено так, щоб лишатися непоміченим, виявити його постфактум важко — спеціалізовані організації, як-от Citizen Lab (Університет Торонто) та Security Lab Amnesty International, розробили криміналістичні методи виявлення слідів зараження в журналах пристроїв, нерідко лише через місяці після атаки. Для особливо вразливих людей (журналісти, активісти, опозиційні політики) експерти з безпеки рекомендують так званий «режим блокування» сучасних смартфонів (вкрай суворе налаштування безпеки, що вимикає безліч поверхонь атаки ціною урізаної функціональності), а також послідовне й швидке встановлення оновлень безпеки, бо виробники регулярно закривають діри Pegasus, що стали відомими.

Див. також: Шпигунське ПЗ, Zero-day