Szpiegował tysiące osób. Co to jest Pegasus?

W piątek 15 marca przed powołaną przez Sejm X kadencji komisją ds. Pegasusa stanął Jarosław Kaczyński, sprawiając tym samym, że w mediach “Pegasus” jest odmieniany przez każdy przypadek. Afera związana z tym narzędziem trwa już od 2021 r. i generalnie jest szeroko komentowana, bo dotyczy systemu, za pośrednictwem którego rządzący mogli szpiegować niewygodnych obywateli.

Co to jest Pegasus?

Za opracowanie Pegasusa odpowiada izraelska firma NSO Group. W istocie jest to narzędzie, które działa w oparciu o wykorzystanie luk w oprogramowaniu telefonów, dzięki czemu pozwala przejąć nad nimi kontrolę. Dziennikarz benchmark.pl Paweł Maziarz wyjaśniał wcześniej, że zgodnie z licznymi raportami, Pegasus miał być skuteczny nawet na smartfonach pracujących pod kontrolą najnowszych wersji systemów operacyjnych iOS i Android.

Jakie konkretne dane może zbierać oprogramowanie szpiegujące Pegasus? Lista jest bardzo długa i można ją streścić jednym słowem: wszystko. Pegasus od NSO Group jest w stanie przechwytywać absolutnie każdy plik w telefonie. Są to m.in. rozmowy telefoniczne, wydarzenia zapisane w kalendarzu, SMS-y, wiadomości z komunikatorów internetowych, nagrania z mikrofonu, lokalizacja użytkownika i historia przeglądania w przeglądarkach internetowych.

Obejrzyj w

Pegasus jest też w stanie przechwytywać wysyłane i otrzymywane wiadomości e-mail, ale też zdjęcia wykonane smartfonem i zrzuty ekranów. Nie ma takiego miejsca w telefonie, do którego narzędzie NSO Group nie miałoby dostępu. Pegasus oddaje właściwie pełną kontrolę nad smartfonem osobie szpiegującej.

Jakie dane może przechwycić Pegasus? (Źródło: The Citizen Lab)

Instalacja Pegasusa po cichu

Generalnie rzecz ujmując Pegasus infekuje urządzenie ofiary w sposób tożsamy do wielu innych popularnych narzędzi tego typu. Oznacza to, że najpierw należy kliknąć link, dzięki któremu odbywa się tzw. remote jailbreak, czyli zdalne włamanie. To proces, który wykorzystuje wspomniane wcześniej luki bezpieczeństwa na konkretnym urządzeniu.

W dalszej kolejności Pegasus instaluje się na telefonie i bez wiedzy ofiary zaczyna komunikację ze swoim operatorem – szpiegiem. Co jednak istotne, zgodnie z instrukcją obsługi Pegasusa, która niegdyś trafiła do internetu, narzędzie może zostać zainstalowane na urządzeniu bez udziału właściciela telefonu – po cichu i bez ryzyka, że szpiegowany nie kliknie podejrzanego linku. Jak to możliwe? To działanie, które określa się mianem ataku zero-click.

“Cicha instalacja” odbywa się za pośrednictwem wysłania na urządzenie powiadomienia push, które natychmiast instaluje oprogramowanie śledzące. Wiadomość może być wysłana w dowolnym momencie i zwykle pozostaje niezauważona. W tym czasie, bez udziału właściciela smartfona, na jego urządzeniu instaluje się Pegasus.

Lista z 50 tys. numerów telefonów do szpiegowania

Jeszcze w 2021 r. dziennikarze wspierani przez laboratorium bezpieczeństwa Amnesty International dotarli do listy 50 tys. numerów telefonów osób, które miały być celem oprogramowania Pegasus. Na liście znajdowali się dziennikarze, naukowcy, prawnicy, politycy, ale też duchowni.

Reporterom udało się zidentyfikować tysiąc inwigilowanych osób z ponad 50 krajów. Na liście śledzonych pojawili się członkowie arabskiej rodziny królewskiej, ale też szereg polityków, urzędników państwowych i wojskowych na całym świecie. Na liście, do której dotarli dziennikarze, nie brakowało też prezydentów i premierów różnych państw.

Źródło grafiki głównej: Adobe Stock