Uitgelegd: hoe Pegasus-spyware een apparaat infecteert; welke gegevens kunnen worden aangetast?

Project Pegasus: De Israëlische spyware, waarvan bekend is dat deze is gebruikt om honderden telefoons in India aan te vallen, is minder afhankelijk geworden van klikken. Pegasus kan een apparaat infecteren zonder betrokkenheid of medeweten van het doelwit.

Pegasus is het paradepaardje van de NSO Groep (Express afbeelding)

In november 2019 fotografeerde een tech-reporter uit New York City een onderscheppingsapparaat dat te zien was op Milipol, een vakbeurs over binnenlandse veiligheid in Parijs. De exposant, NSO Group, plaatste de hardware achter in een busje, wat misschien suggereert dat het gemakkelijk mee te nemen is, en zei dat het niet zou werken op Amerikaanse telefoonnummers, mogelijk als gevolg van een zelfopgelegde beperking door het bedrijf.

Sinds de Israëlische cybergigant in 2010 werd opgericht, was dat waarschijnlijk de eerste keer dat een door de NSO gemaakt draagbaar basistransceiverstation (BTS) in een mediabericht te zien was.

Een BTS - of 'rogue cell tower' of 'IMSI Catcher' of 'stingray' - imiteert legitieme zendmasten en dwingt mobiele telefoons binnen een straal om er verbinding mee te maken, zodat het onderschepte verkeer door een aanvaller kan worden gemanipuleerd. De BTS die in 2019 werd gefotografeerd, was samengesteld uit horizontaal gestapelde kaarten, waardoor onderschepping over meerdere frequentiebanden mogelijk zou zijn.

De andere optie is om de toegang tot de mobiele operator van het doelwit zelf te benutten. In dat scenario zou een aanvaller geen malafide zendmasten nodig hebben, maar voor manipulatie vertrouwen op de reguliere netwerkinfrastructuur.

Hoe dan ook, de mogelijkheid om 'netwerkinjectie'-aanvallen uit te voeren - op afstand uitgevoerd zonder tussenkomst van het doelwit (vandaar ook genaamd zero-click ) of kennis —gaven Pegasus , het vlaggenschipproduct van de NSO Group, een unieke voorsprong op zijn concurrenten op de wereldwijde spywaremarkt.

Pegasus staat nu centraal in een wereldwijd gezamenlijk onderzoeksproject waaruit is gebleken dat de spyware onder meer werd gebruikt om honderden mobiele telefoons in India .

Waarin verschilt Pegasus van andere spyware?

Pegasus alias Q Suite, op de markt gebracht door de NSO Group alias Q Cyber ​​Technologies als een wereldwijd toonaangevende cyber intelligence-oplossing die wetshandhavings- en inlichtingendiensten in staat stelt om op afstand en heimelijk gegevens van vrijwel alle mobiele apparaten te extraheren, is ontwikkeld door veteranen van Israëlische inlichtingendiensten.

Tot begin 2018 vertrouwden klanten van de NSO Group voornamelijk op sms- en WhatsApp-berichten om doelwitten te misleiden tot het openen van een kwaadaardige link, wat zou leiden tot infectie van hun mobiele apparaten. Een Pegasus-brochure beschreef dit als Enhanced Social Engineering Message (ESEM). Wanneer op een kwaadaardige link, verpakt als ESEM, wordt geklikt, wordt de telefoon doorgestuurd naar een server die het besturingssysteem controleert en de geschikte externe exploit levert.

In haar rapport van oktober 2019 documenteerde Amnesty International voor het eerst het gebruik van ‘netwerkinjecties’ waarmee aanvallers de spyware konden installeren zonder dat het doelwit enige interactie nodig had. Pegasus kan dergelijke zero-click installaties op verschillende manieren realiseren. Een over-the-air (OTA)-optie is om heimelijk een pushbericht te verzenden waardoor het doelapparaat de spyware laadt, waarbij het doel zich niet bewust is van de installatie waarover ze sowieso geen controle heeft.

Dit, een Pegasus-brochure opschept, is het unieke van NSO, dat de Pegasus-oplossing aanzienlijk onderscheidt van alle andere spyware die op de markt verkrijgbaar is.

Wat voor apparaten zijn kwetsbaar?

Alle apparaten, praktisch. Pegasus is op grote schaal het doelwit geweest van iPhones via Apple's standaard iMessage-app en het Push Notification Service-protocol (APN's) waarop het is gebaseerd. De spyware kan zich voordoen als een applicatie die naar een iPhone is gedownload en zichzelf als pushmeldingen verzenden via de servers van Apple.

In augustus 2016 meldde het Citizen Lab, een interdisciplinair laboratorium aan de Universiteit van Toronto, het bestaan ​​van Pegasus aan cyberbeveiligingsbedrijf Lookout, en de twee signaleerden de bedreiging voor Apple. In april 2017 hebben Lookout en Google details vrijgegeven over een Android-versie van Pegasus.

In oktober 2019 beschuldigde WhatsApp de NSO Groep van misbruik van een kwetsbaarheid in de videobelfunctie. Een gebruiker zou ontvangen wat leek op een videogesprek, maar dit was geen normaal gesprek. Nadat de telefoon ging, heeft de aanvaller in het geheim kwaadaardige code verzonden in een poging de telefoon van het slachtoffer te infecteren met spyware. De persoon hoefde de oproep niet eens te beantwoorden, zei WhatsApp-chef Will Cathcart.

welke nationaliteit is kesha

In december 2020 meldde een Citizen Lab-rapport hoe overheidsfunctionarissen Pegasus gebruikten om in juli-augustus 2020 37 telefoons van journalisten, producenten, ankers en leidinggevenden van Al Jazeera en het in Londen gevestigde Al Araby TV te hacken, gebruikmakend van een zero-day ( een kwetsbaarheid onbekend voor ontwikkelaars) tegen ten minste iOS 13.5.1 die Apple's toen nieuwste iPhone 11 kon hacken. Hoewel de aanval niet werkte tegen iOS 14 en hoger, zei het rapport dat de waargenomen infecties waarschijnlijk een minuscule fractie waren van het totaal aanvallen, gezien de wereldwijde verspreiding van het klantenbestand van de NSO Group en de schijnbare kwetsbaarheid van bijna alle iPhone-apparaten voorafgaand aan de iOS 14-update.

Komt de spyware altijd op elk apparaat waarop het zich richt?

Gewoonlijk moet een aanvaller het Pegasus-systeem alleen het doeltelefoonnummer geven voor een netwerkinjectie. De rest gebeurt automatisch door het systeem, zegt een Pegasus-brochure, en in de meeste gevallen wordt de spyware geïnstalleerd.

In sommige gevallen werken netwerkinjecties echter mogelijk niet. Installatie op afstand mislukt bijvoorbeeld wanneer het doelapparaat niet wordt ondersteund door het NSO-systeem, of het besturingssysteem is geüpgraded met nieuwe beveiligingsmaatregelen.

Blijkbaar is een manier om Pegasus te ontwijken, de standaardtelefoonbrowser te wijzigen. Volgens een Pegasus-brochure wordt installatie vanuit andere browsers dan de apparaatstandaard (en ook Chrome voor Android-apparaten) niet ondersteund door het systeem.

In al deze gevallen wordt de installatie afgebroken en zal de browser van het doelapparaat een vooraf bepaalde onschadelijke webpagina weergeven, zodat het doel geen idee heeft van de mislukte poging. Vervolgens zal een aanvaller waarschijnlijk terugvallen op ESEM clickbaits. Als al het andere faalt, zegt de brochure, kan Pegasus handmatig worden geïnjecteerd en geïnstalleerd in minder dan vijf minuten als een aanvaller fysieke toegang krijgt tot het doelapparaat.

Welke informatie kan worden gecompromitteerd?

Eenmaal geïnfecteerd, wordt een telefoon een digitale spion onder volledige controle van de aanvaller.

Na de installatie neemt Pegasus contact op met de command and control (C&C)-servers van de aanvaller om instructies te ontvangen en uit te voeren en de privégegevens van het doelwit terug te sturen, inclusief wachtwoorden, contactlijsten, agendagebeurtenissen, sms-berichten en live spraakoproepen (zelfs die via end-to -end-gecodeerde berichten-apps). De aanvaller kan de camera en microfoon van de telefoon bedienen en de GPS-functie gebruiken om een ​​doelwit te volgen.

Om een ​​groot bandbreedteverbruik te voorkomen dat een doelwit kan waarschuwen, stuurt Pegasus alleen geplande updates naar een C&C-server. De spyware is ontworpen om forensische analyse te ontwijken, detectie door antivirussoftware te voorkomen, en kan worden gedeactiveerd en verwijderd door de aanvaller, wanneer en indien nodig.

Welke voorzorgsmaatregelen kan men nemen?

In theorie kan slimme cyberhygiëne bescherming bieden tegen ESEM-aas. Maar wanneer Pegasus misbruik maakt van een kwetsbaarheid in het besturingssysteem van de telefoon, kan men niets doen om een ​​netwerkinjectie te stoppen. Erger nog, je zult er niet eens van op de hoogte zijn, tenzij het apparaat wordt gescand in een digitaal beveiligingslab.

Overschakelen naar een archaïsche handset die alleen basisgesprekken en berichten toelaat, zal zeker de blootstelling aan gegevens beperken, maar het infectierisico niet significant verminderen. Ook zullen alle alternatieve apparaten die worden gebruikt voor e-mails en apps kwetsbaar blijven, tenzij men helemaal afziet van het gebruik van die essentiële diensten.

Daarom kun je het beste op de hoogte blijven van elke update van het besturingssysteem en elke beveiligingspatch die door apparaatfabrikanten wordt uitgebracht, en hopen dat zero-day-aanvallen zeldzamer worden. En als men het budget heeft, is het periodiek wisselen van handsets misschien wel de meest effectieve, zij het dure, remedie.

Aangezien de spyware zich in de hardware bevindt, zal de aanvaller het nieuwe apparaat met succes moeten infecteren telkens wanneer er een wordt gewijzigd. Dat kan zowel logistieke (kosten) als technische (beveiligingsupgrade) uitdagingen met zich meebrengen. Tenzij men te maken heeft met onbeperkte middelen, meestal geassocieerd met staatsmacht.

Deel Het Met Je Vrienden: