Kako na telefonu potražiti, uočiti i ukloniti špijunski softver Pegaz?

Moćni izraelski vojni špijunski softver našao se na međunarodnim naslovima u nedjelju, kada su medijske istrage otkrile da su najmanje 50 000 ljudi iz više od desetak država bili mete hakerskih napada, koji su krali informacije i pretvarali uređaje u uređaje s grješkom.

Vlade, novinari, oporbeni političari i udruge za zaštitu prava širom svijeta zahtijevaju formalnu istragu Pegaza, špijunskog proizvoda koji je stvorila sjenovita izraelska softverska tvrtka NSO Group. Prodan je državama za “borbu protiv terorizma i kriminala”, a otkriveno je da je softver korišten na nesavjestan način za napade na članova tiska, zakonodavaca i drugih, pomažući u uklanjanju neslaganja ili dopuštajući vladama da pređu potencijalno neugodne skandale.

Kako radi

Pegaz nije tipični zlonamjerni softver koji jednim klikom zahtijeva interakciju korisnika – obično slijedeći zlonamjernu vezu – da bi dobio pristup uređaju. Umjesto toga, špijunski softver zaražava telefone takozvanim napadom nultih klikova, koji ne treba korisnikovu interakciju, već se jednostavno instalira i započinje prikupljanje podataka.

Jednom instaliran, špijunski softver, koji je kompatibilan s Androidom i Apple iOS-om, može dobiti pristup svim vrstama podataka na korisnikovom telefonu, od kontakata i šifriranih poruka do zapisa poziva, fotografija i GPS podataka o lokaciji. Štoviše, sposoban je daljinski uključiti ili isključiti mikrofone i kamere, pretvarajući tako korisnikov uređaj u mobilni uređaj za slušanje ili gledanje.

Da bi prikrio svoju prisutnost, Pegaz umanjuje potrošnju propusnosti kako bi izbjegao pražnjenje baterije i sumnje korisnika. Umjesto toga, šalje redovita ažuriranja po rasporedu za zapovjedne i upravljačke poslužitelje (C2) – računala ili domene koje koristi onaj tko vrši špijuniranje. Nažalost, špijunski softver također nije propustan za komercijalno dostupan antivirusni softver.

Kako znati je li u pitanju Pegaz?

Neprimjetna priroda špijunskog softvera, njegova instalacija bez klika i nepropusnost za antiviruse onemogućuju vlasnicima telefona otkrivanje njegove prisutnost jednostavnim promatranjem svog uređaja.

Ima nade, međutim. Budući da se softver povezuje s gore spomenutim C2, pretraga da bi se utvrdilo može li telefon koji je komunicirao s poznatim instalacijskim poslužiteljima Pegaza, teoretski otkriti je li zlonamjerni softver prisutan.

Amnesty International, organizacija za ljudska prava sa sjedištem u Londonu koja je pomogla medijima da skinu opseg širenja Pegaza u izvještavanju ovog vikenda, identificirala je ugrožene iPhone uređaje, proučavajući evidenciju izvršenja procesa i korištenja mreže izvršenih datoteka baze podataka telefona – datausage.sqlite i netusage.sqlite.

Amnestyjeva analiza pronašla je ukupno 45 sumnjivih imena procesa u njihovoj analizi, a Citizen Lab, programer softvera sa sjedištem u Torontu koji radi na zaštiti građana od nadzora, podudara se s 28 tih procesa u vlastitom neovisno provedenom istraživanju.

Tehnološki giganti poput Applea i tvorci aplikacija poput Facebookova WhatsAppa nisu jednostavno sjedili na rukama dok je Pegaz radio kaos na telefonima, otkako je špijunski softver prvi put otkriven 2016. godine i jednom su pokušali zatvoriti sigurnosne propuste, kada bi oni bili pronađeni. To je jedan od razloga zbog kojeg je NSO Group radila na razvoju novih verzija svog špijunskog softvera. Nažalost, čini se da je izraelski špijunski div zasad ostao korak ispred tvrtki kao što je Apple, dok je istraživač Citizen Laba Bill Marczak u ponedjeljak izvijestio da je najnovija verzija iOS-a, verzija 14.6, i dalje ranjiva na Pegazove napade od nula klikova.

(1) @AmnestyTech saw an iOS 14.6 device hacked with a zero-click iMessage exploit to install Pegasus. We at @citizenlab also saw 14.6 device hacked with a zero-click iMessage exploit to install Pegasus. All this indicates that NSO Group can break into the latest iPhones.

— Bill Marczak (@billmarczak) July 18, 2021

Korisnici mogu samostalno skenirati svoje telefone u potrazi za znakovima da je njihov uređaj ugrožen pomoću Amnestyevog alata ‘-”pokazatelj kompromisa” (IoC). Softver, službeno poznat kao ”Mobile VerificationToolkit” ili MVT, radi s iOS-om i Androidom i dostupan je za preuzimanje.

U svom trenutnom obliku, softver nije jednostavno za korištenje, nema grafičko korisničko sučelje i instalira se na naredbenu liniju telefona, što znači da je potrebno osnovno znanje osnovnog kodiranja. Komplet alata također zahtijeva preuzimanje i instalaciju ovisnosti da bi djelovao.

Jednom instaliran, softver omogućuje korisnicima stvaranje sigurnosne kopije uređaja, provjeru sigurnosnih kopija datoteka, uključujući artefakte iz vlasničkog sustava sigurnosnih kopija iTunesa, ako je primjenjivo, izvlačenje artefakata s odlagališta datotečnog sustava i usporedbu pohranjenih podataka s poznatim pokazateljima kompromisa. Android verzija softvera, za koju Amnesty kaže da je manje dorađena zbog veće rasprostranjenosti Pegaza na iOS uređajima, uključuje mogućnost provjere preuzimanja nesigurnih APK-ova (aplikacija) i pretraživanja sigurnosnih kopija tekstualnih poruka s veze, s otprilike 700 poznatih NSO domena (Amnesty kaže da će se ovaj popis neprestano ažurirati).

Suradnik Tech Cruncha, Zack Whittaker, testirao je alat na iPhoneu i izvijestio da je potrebno oko 10 minuta za njegovo pokretanje, plus vrijeme potrebno za sigurnosnu kopiju telefona, potrebno za dešifriranje lokalno pohranjenih datoteka. Samo skeniranje traje samo jednu do dvije minute i u izlaznim datotekama navodi moguće znakove kompromisa.

Vaš je uređaj zaražen Pegazom. Što nakon toga?

Tehnički stručnjaci ne daju jasno na znanje što se može učiniti ako se Pegaz pronađe na uređaju. U studiji iz 2019. godine Citizen Lab otkrio je da u slučaju Android uređaja zlonamjerni softver može preživjeti vraćanje tvorničkih postavki na nekim telefonima, što znači da je jedini način da budete sigurni da niste zaraženi nabavka novog telefona.

Nije jasno može li softver NSO Group preživjeti ”teški reset” na iOS uređajima, budući da Appleova tehnička podrška ne želi čak niti da njegova napredna “zaštićena iOS arhitektura” može biti ugrožena te preporučuju da će ažuriranja softvera riješiti sve probleme (što ažuriranja ne čine).

Tehnički stručnjaci to ne spominju, ali još jedan mogući način za smanjenje izloženosti Pegazu je smanjenje izloženosti digitalnom svijetu.

Novinari, aktivisti, političari i drugi koji se osjećaju ranjivo mogu to učiniti korištenjem fiksnih telefona ili jednostavnih mobitela, bez internetskih mogućnosti koje bi Pegaz mogao iskoristiti, sudjelovanjem u sastancima licem u lice umjesto razgovora glasom i SMS-om, koristeći analogne ili jednostavne digitalne snimače glasa itd. Ako odustajanje od pametnog telefona nije opcija, uvijek postoji alternativa korištenju pametnog telefona koji nije Android i koji nije iOS, a koji je možda manje ranjiv na izraelski špijunski softver zbog svoje ograničenije korisničke baze.

Nijedna od ovih tehnika ne može jamčiti da onaj tko vas možda ilegalno nadzire, neće to moći učiniti, ali za to će trebati barem veći napor u njihovo ime.