#CyberMagazyn: Anatomia Pegasusa. Jak działa najpotężniejszy system inwigilacyjny świata?

Zacznijmy od przypomnienia podstawowych kwestii.

Czym jest inwigilacja?

W największym skrócie – to wszystkie czynności podejmowane po to, by monitorować zachowania innych osób. Najczęściej podejmowana jest przez państwa o ustroju totalitarnym, po to, by łatwiej było sprawować kontrolę nad społeczeństwem i nie dopuścić do powstania ruchów prodemokratycznych. Inwigilacja prowadzona jest jednak także wobec obywateli i obywatelek państw demokratycznych – co od 2013 r. nie jest tajemnicą dzięki rewelacjom byłego pracownika Narodowej Agencji Bezpieczeństwa (NSA) USA Edwarda Snowdena. Ujawnił on, że amerykańskie społeczeństwo (i nie tylko) jest na szeroką skalę inwigilowane m.in. z wykorzystaniem narzędzi nadzoru elektronicznego (monitorowane mogą być w takim wypadku nie tylko rozmowy telefoniczne, ale też dane przesyłane przez internet – np. maile czy konwersacje, aktywność w mediach społecznościowych, transmisja satelitarna). Gromadzenie i retencja danych, które ujawnił Snowden, dotyczyły również osób, które nie były podejrzane w żadnych sprawach kryminalnych i tłumaczone przez amerykańskie organy koniecznością przeciwdziałania i walki z terroryzmem.

Jako taka, inwigilacja stanowi naruszenie prawa do prywatności, które zaliczane jest do podstawowych praw człowieka. Według Organizacji Narodów Zjednoczonych, inwigilacja stanowi jedno z głównych zagrożeń dla wolności słowa na świecie.

Czym są narzędzia służące do inwigilacji?

Narzędzia służące do inwigilacji – popularnie nazywane spyware – wykorzystywane są przez służby wywiadowcze i organy ścigania przede wszystkim do walki z przestępczością i terroryzmem. W rękach rządów - zmierzających w stronę autorytaryzmu, już autorytarnych, bądź totalitarnych - mogą posłużyć również do tłumienia ruchów demokratycznych i inwigilacji obywateli.

Najczęściej, spyware to dziś rodzina złośliwego oprogramowania, która jest wykorzystywana przeciwko użytkownikom i użytkowniczkom urządzeń elektronicznych (takich jak komputery i smartfony) bez ich wiedzy i zgody.

Popularne oprogramowanie tego rodzaju opiera się o proste funkcjonalności – pozwala na ekstrakcję historii przeglądanych stron internetowych, bądź pozyskiwanie treści prywatnych rozmów prowadzonych przez komunikatory lub pocztę elektroniczną bez wiedzy i zgody osób, których inwigilacja dotyczy. W bardziej zaawansowanych formach, spyware może pozwalać na pozyskiwanie treści e-maili, nagrywanie prowadzonych przez telefon rozmów, a także pobieranie wysyłanych i otrzymywanych SMS-ów, a nawet zdalną aktywację kamery oraz mikrofonu urządzenia i rejestrację z ich wykorzystaniem obrazu oraz dźwięku.

Oprogramowanie do inwigilacji innych osób najczęściej instalowane jest na telefonach podmiotów, które poddawane są nadzorowi, z wykorzystaniem techniki phishingu, bądź też z wykorzystaniem okazji fizycznego dostępu do urządzenia osoby, która ma być śledzona.

Co to jest Pegasus i czym różni się od popularnego spyware?

Pegasus to nie tylko oprogramowanie do inwigilacji. To cały system szpiegowski, który stworzyła (i na który licencje sprzedaje) izraelska firma NSO Group. Popularnym w sieci twierdzeniem było, jakoby Pegasus mógł działać wyłącznie na telefonach z iOS – to nieprawda. System ten może infekować oba wiodące systemy operacyjne na urządzenia mobilne i służyć do inwigilacji zarówno osób korzystających z urządzeń Apple’a, jak i tych z systemem Android od Google’a.

Kiedy aktywność Pegasusa została wykryta (2016 rok) był instalowany na telefonach inwigilowanych osób w oparciu o technikę spear-phishingu, wymagającą od użytkownika kliknięcia w złośliwy link przesłany w wiadomości iMessage, bądź z wykorzystaniem komunikatora WhatsApp. System Pegasus jednak ewoluował, jak każda technologia.

W ujawnionych w wyniku międzynarodowego śledztwa dziennikarskiego 17 organizacji medialnych i Amnesty International rewelacjach stwierdzono, że obecnie stosowane wersje Pegasusa nie wymagają już instalacji złośliwego oprogramowania (stanowiącego swoistą furtkę dla działania całego systemu) przez skłonienie użytkownika do kliknięcia w link. Instalacja opiera się m.in. na wykorzystaniu podatności typu zero-day, o których producenci oprogramowania mobilnego jeszcze nie wiedzą lub też nie zostały one przez nich do tej pory naprawione – tak było w 2019 roku, kiedy do instalacji Pegasusa wykorzystano błędy komunikatora WhatsApp.

Pegasus trafił wówczas na telefony ponad 1,4 tys. osób. Jak? Przez próbę nawiązania połączenia głosowego na WhatsAppie, którego ofiara nawet nie musiała odebrać, by złośliwe oprogramowanie trafiło na jej telefon.

W przypadku najnowszych informacji, Pegasus miał wykorzystywać do swojego działania podatność komunikatora iMessage od Apple’a, który stał się w ten sposób „bramką” do milionów iPhone’ów na całym świecie – nawet tych, które posiadały aktualną wersję systemu iOS ze wszystkimi łatkami zabezpieczającymi.

Dlaczego tak się dzieje? Rośnie świadomość społeczna zagrożeń w świecie cyfrowym. Kampanie phishingowe w pewnym momencie stały się częstym tematem medialnych materiałów edukacyjnych, a osoby korzystające z urządzeń elektronicznych zostały wyczulone, aby nie ulegały łatwo chęci kliknięcia w przesłany mailem, komunikatorem lub SMS-em odnośnik, który wcale nie musi prowadzić tam, gdzie obiecuje nadawca komunikatu.

Wykorzystanie podatności typu zero-day oprogramowania systemowego, ale też najbardziej popularnych aplikacji, znacznie zwiększa zakres działania Pegasusa. Według Amnesty International i mediów, ataki z wykorzystaniem takiego wektora instalacji Pegasusa były prowadzone nawet w lipcu tego roku. Cytowany przez dziennik „Guardian” badacz cyberbezpieczeństwa Claudio Guarnieri, który szefuje berlińskiemu laboratorium Security Lab Amnesty International ocenił, że NSO może obecnie rozszerzać swoje działania w zakresie poszukiwania podatności pozwalających na instalację Pegasusa na aplikacje do tej pory niewykorzystywane w tego rodzaju atakach – takie jak np. systemowa galeria zdjęć na iOS czy program Apple Music.

Choć ataki typu zero-click, opisane wyżej są obecnie najbardziej prawdopodobną drogą do instalacji Pegasusa na telefonie osoby, która ma być poddawana inwigilacji, według broszury NSO system ten może być również aktywowany za pomocą manualnej instalacji złośliwego oprogramowania na pozostawionym bez opieki telefonie lub przekazania pakietów na smartfon, przez znajdujący się w pobliżu transmiter bezprzewodowy.

Jak działa Pegasus i co potrafi?

Kiedy już Pegasus zostanie aktywowany na telefonie inwigilowanej osoby, może pozyskać właściwie każde dane, jakie przechodzą przez jej smartfona i przekazać je temu, kto wykorzystuje system do nasłuchu. To m.in. treść SMS-ów i emaili, zapis czatów na WhatsAppie i w innych aplikacjach, zdjęcia i materiały wideo, nagrania głosowe, dane GPS, wpisy w kalendarzu i książce adresowej.

Ponadto, Pegasus potrafi aktywować mikrofon i aparat fotograficzny, umożliwia zatem zdalne nagrywanie dźwięku i obrazu. Dodatkowo, system ten działa jak keylogger – szyfrowana komunikacja w przypadku jego użycia nie daje uczestnikom komunikacji ochrony, gdyż Pegasus potrafi rejestrować to, co inwigilowana osoba wpisuje na klawiaturze swojego telefonu.

Jak obronić się przed Pegasusem?

W praktyce – nie można. Pegasusa nie można wykryć z poziomu jakiejkolwiek innej aplikacji – dlatego nie warto ufać w zapewnienia niektórych producentów oprogramowania, że ich produkty pozwalają na stwierdzenie, czy jesteśmy inwigilowani z wykorzystaniem tego systemu.

To, co warto robić, aby zwiększyć swoje bezpieczeństwo, to instalować najnowsze aktualizacje oprogramowania (a zwłaszcza systemów operacyjnych), zachować ostrożność pod względem instalowanych na smartfonach aplikacji, a także – nigdy nie zostawiać swojego telefonu bez nadzoru podczas spotkań z innymi osobami.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.