Explicado: Como o spyware Pegasus infecta um dispositivo; quais dados podem estar comprometidos

Projeto Pegasus: O spyware israelense, que revelou ter sido usado para atingir centenas de telefones na Índia, tornou-se menos dependente de cliques. Pegasus pode infectar um dispositivo sem o envolvimento ou conhecimento do alvo.

Pegasus é o principal produto do Grupo NSO (ilustração Express)

Em novembro de 2019, um repórter de tecnologia da cidade de Nova York fotografou um dispositivo de interceptação exibido na Milipol, uma feira de segurança interna em Paris. O expositor, NSO Group, colocou o hardware na parte de trás de uma van, talvez sugerindo conveniência de portabilidade, e disse que não funcionaria em números de telefone dos EUA, possivelmente devido a uma restrição auto-imposta pela empresa.

Desde que o gigante cibernético israelense foi fundado em 2010, essa foi provavelmente a primeira vez que uma Estação Transceptora de Base (BTS) portátil feita por NSO foi apresentada em uma reportagem da mídia.

Um BTS - ou ‘torre de celular invasor’ ou ‘IMSI Catcher’ ou ‘stingray’ - personifica torres de celular legítimas e força os telefones celulares dentro de um raio a se conectar a ele, de modo que o tráfego interceptado possa ser manipulado por um invasor. O BTS fotografado em 2019 era composto de cartões empilhados horizontalmente, provavelmente para permitir a interceptação em várias bandas de frequência.

A outra opção é alavancar o acesso à própria operadora móvel alvo. Nesse cenário, um invasor não precisaria de nenhuma torre de celular invasora, mas dependeria da infraestrutura de rede regular para manipulação.

De qualquer forma, a capacidade de lançar ataques de 'injeção de rede' - realizados remotamente, sem o envolvimento do alvo (portanto, também chamado de clique zero ) ou conhecimento —dou Pegasus , O principal produto do Grupo NSO, uma vantagem exclusiva sobre seus concorrentes no mercado global de spyware.

Pegasus está agora no centro de um projeto investigativo colaborativo global que descobriu que o spyware foi usado para atingir, entre outros, centenas de telefones celulares na Índia .

Como o Pegasus difere de outros spywares?

O Pegasus, também conhecido como Q Suite, comercializado pelo NSO Group também conhecido como Q Cyber ​​Technologies como uma solução de inteligência cibernética líder mundial que permite às agências de aplicação da lei e de inteligência extrair remotamente e secretamente dados de virtualmente qualquer dispositivo móvel, foi desenvolvido por veteranos de agências de inteligência israelenses.

Até o início de 2018, os clientes do Grupo NSO dependiam principalmente de mensagens SMS e WhatsApp para induzir os alvos a abrir um link malicioso, o que levaria à infecção de seus dispositivos móveis. Uma brochura da Pegasus descreveu isso como Enhanced Social Engineering Message (ESEM). Quando um link malicioso empacotado como ESEM é clicado, o telefone é direcionado a um servidor que verifica o sistema operacional e fornece o exploit remoto adequado.

Em seu relatório de outubro de 2019, a Anistia Internacional documentou pela primeira vez o uso de 'injeções de rede', que permitiram que os invasores instalassem o spyware sem exigir nenhuma interação do alvo. A Pegasus pode realizar essas instalações sem clique de várias maneiras. Uma opção over-the-air (OTA) é enviar uma mensagem push secretamente que faça o dispositivo de destino carregar o spyware, sem que o alvo saiba da instalação sobre a qual ele não tem controle.

Isso, como uma brochura da Pegasus se gaba, é a exclusividade da NSO, que diferencia significativamente a solução Pegasus de qualquer outro spyware disponível no mercado.

Que tipo de dispositivos são vulneráveis?

Todos os dispositivos, praticamente. Os iPhones têm sido amplamente utilizados pela Pegasus por meio do aplicativo iMessage padrão da Apple e do protocolo Push Notification Service (APNs) no qual ele se baseia. O spyware pode se passar por um aplicativo baixado para um iPhone e se transmitir como notificações push por meio dos servidores da Apple.

Em agosto de 2016, o Citizen Lab, um laboratório interdisciplinar baseado na Universidade de Toronto, relatou a existência do Pegasus à empresa de segurança cibernética Lookout, e os dois sinalizaram a ameaça à Apple. Em abril de 2017, a Lookout e o Google divulgaram detalhes sobre uma versão Android do Pegasus.

Em outubro de 2019, o WhatsApp culpou o Grupo NSO por explorar uma vulnerabilidade em seu recurso de videochamada. Um usuário receberia o que parecia ser uma chamada de vídeo, mas esta não era uma chamada normal. Depois que o telefone tocou, o invasor transmitiu secretamente um código malicioso em um esforço para infectar o telefone da vítima com spyware. A pessoa nem precisou atender a ligação, disse o chefe do WhatsApp, Will Cathcart.

Qual é o patrimônio líquido de Kevin Gates?

Em dezembro de 2020, um relatório do Citizen Lab sinalizou como agentes do governo usaram Pegasus para hackear 37 telefones pertencentes a jornalistas, produtores, âncoras e executivos da Al Jazeera e da Al Araby TV de Londres durante julho-agosto de 2020, explorando um dia zero ( uma vulnerabilidade desconhecida para desenvolvedores) contra pelo menos iOS 13.5.1 que poderia hackear o então mais recente iPhone 11. da Apple. Embora o ataque não tenha funcionado contra iOS 14 e superior, o relatório disse que as infecções observadas eram provavelmente uma fração minúscula do total ataques, dada a disseminação global da base de clientes do Grupo NSO e a aparente vulnerabilidade de quase todos os dispositivos iPhone antes da atualização do iOS 14.

O spyware sempre entra em qualquer dispositivo que visa?

Normalmente, um invasor precisa alimentar o sistema Pegasus apenas com o número de telefone de destino para uma injeção de rede. O resto é feito automaticamente pelo sistema, diz um folheto da Pegasus, e o spyware é instalado na maioria dos casos.

Em alguns casos, porém, as injeções de rede podem não funcionar. Por exemplo, a instalação remota falha quando o dispositivo de destino não é suportado pelo sistema NSO ou seu sistema operacional é atualizado com novas proteções de segurança.

Aparentemente, uma maneira de evitar Pegasus é mudar o navegador padrão do telefone. De acordo com um folheto da Pegasus, a instalação de navegadores diferentes do padrão do dispositivo (e também do Chrome para dispositivos baseados em Android) não é compatível com o sistema.

Em todos esses casos, a instalação será abortada e o navegador do dispositivo de destino exibirá uma página da Web inócua pré-determinada para que o destino não tenha uma ideia da tentativa falhada. Em seguida, um invasor provavelmente recorrerá às iscas de clique do ESEM. Com tudo falhando, diz o folheto, o Pegasus pode ser injetado e instalado manualmente em menos de cinco minutos se um invasor obtiver acesso físico ao dispositivo alvo.

Quais informações podem ser comprometidas?

Uma vez infectado, um telefone se torna um espião digital sob o controle total do invasor.

Após a instalação, o Pegasus contata os servidores de comando e controle (C&C) do invasor para receber e executar instruções e enviar de volta os dados privados do alvo, incluindo senhas, listas de contatos, eventos de calendário, mensagens de texto e chamadas de voz ao vivo (mesmo aquelas via end-to aplicativos de mensagens criptografadas no final). O invasor pode controlar a câmera e o microfone do telefone e usar a função GPS para rastrear um alvo.

Para evitar o consumo extensivo de largura de banda que pode alertar um alvo, Pegasus envia apenas atualizações programadas para um servidor C&C. O spyware foi projetado para evitar análises forenses, evitar a detecção por software antivírus e pode ser desativado e removido pelo invasor, quando e se necessário.

Que precauções se pode tomar?

Teoricamente, a higiene cibernética astuta pode proteger contra iscas ESEM. Mas quando Pegasus explora uma vulnerabilidade no sistema operacional de um telefone, não há nada que se possa fazer para impedir uma injeção de rede. Pior, nem mesmo saberemos disso, a menos que o dispositivo seja escaneado em um laboratório de segurança digital.

Mudar para um aparelho arcaico que permite apenas chamadas e mensagens básicas certamente limitará a exposição dos dados, mas não reduzirá significativamente o risco de infecção. Além disso, quaisquer dispositivos alternativos usados ​​para e-mails e aplicativos permanecerão vulneráveis, a menos que se esqueça de usar todos esses serviços essenciais.

Portanto, o melhor que se pode fazer é manter-se atualizado com cada atualização do sistema operacional e patch de segurança lançado pelos fabricantes de dispositivos e esperar que os ataques de dia zero se tornem mais raros. E se alguém tiver orçamento, trocar de aparelho periodicamente é talvez o remédio mais eficaz, embora caro.

Como o spyware reside no hardware, o invasor terá que infectar com êxito o novo dispositivo sempre que houver uma alteração. Isso pode representar desafios logísticos (custos) e técnicos (atualização de segurança). A menos que se enfrente recursos ilimitados, geralmente associados ao poder estatal.

Compartilhe Com Os Seus Amigos: