Pegasus spionprogram från den ökända NSO Group används av regeringar och andra mäktiga aktörer över hela världen för att spionera på journalister, advokater, affärsmän, vetenskapsmän, politiker, aktivister och till och med deras vänner och släktingar.
En läckt databas med 50 000 telefonnummer som tillhör misstänkta offer analyserades av Forbidden Stories och Amnesty International. Vissa enheter som undersökts av utredare visar bevis på Pegasus-attacker. NSO-gruppen bestrider fynden och hävdar att dess programvara endast är avsedd att användas mot kriminella.
Så vad gör Pegasus spionprogram? Och hur kan du kontrollera om det finns på din iPhone?
Hur infekterar Pegasus spionprogram enheter?
Spionprogrammet kan attackera iPhones och Android-enheter på distans med hjälp av “nollklick”-metoder utan att användarna gör något.
Pegasus kan installeras via WhatsApp, iMessage, ett tyst SMS, missade samtal och andra för närvarande okända metoder.
Vad kan Pegasus spionprogram göra?
Spionprogrammet ger angripare fullständig åtkomst till dina data och låter dem göra saker även du, ägaren, är begränsad från att göra. Alla dina meddelanden, e-postmeddelanden, chattar, GPS-data, foton och videor och mer kan skickas tyst från din enhet till den som är intresserad av dig.
Angripare kan använda din mikrofon för att spela in dina privata konversationer och använda kameran för att filma dig i hemlighet.
Hur kan jag ta bort Pegasus spionprogram?
För närvarande finns det inget säkert sätt att ta bort Pegasus. Det är oklart om ens en fabriksåterställning skulle fungera eftersom spionprogrammet kan finnas kvar i de lägre nivåerna av systemets kod.
Om din telefon är infekterad kan den bästa lösningen vara att byta enhet och nummer. Naturligtvis kan en ny Android eller iPhone lätt äventyras som din tidigare, även om Apple har släppt iOS 14.7.1-uppdateringen som tros ta itu med några av de inblandade utnyttjandena.
Finns det seriösa alternativ till iOS- och Android-telefoner?
I skrivande stund lider det mobila OS-ekosystemet av en allvarlig brist på mångfald och till och med härdade Android-gafflar som Graphene OS eller Calyx erbjuder inget skydd. Security-through-obscurity kan vara tillämpligt i det här fallet och en enhet som kör Sailfish OS från Jolla eller kanske en Librem 5 som kör Pure OS är huvudalternativen.
Hur kan jag kontrollera om min iPhone har infekterats med Pegasus Spyware?
Lyckligtvis släppte Amnesty International ett verktyg som heter MVT som låter användare kontrollera om deras enhet har attackerats av NSO skadlig kod. Även om kommandoradsverktyget är designat för kriminaltekniska utredare, är en del av upptäckten automatiserad och bör ge tillräckligt med information för att avgöra om det är värt att undersöka vidare, även om du inte är en säkerhetsspecialist.
För tillfället verkar iPhones vara det vanligaste målet och utredare har också funnit att Apple-enheterna ger de mest detaljerade bevisen på intrång. Läs vidare för vår guide för att installera och använda detektionsprogramvaran med din iPhone.
Vad behöver jag för att kontrollera min iPhone för Pegasus-spionprogram?
För att förenkla processen och låta dig köra verktyget på macOS, Linux eller Windows, kommer vi att använda en Docker-behållare speciellt förberedd för MVT. Så först måste du installera Docker på din maskin. Vi har instruktioner för att installera Docker på Ubuntu och hur du kan starta Ubuntu på din Windows- eller Apple-dator.
Hur ställer jag in min dator för att söka efter Pegasus på min iPhone?
Vi ger varje kommando steg-för-steg nedan och flerradskommandon bör skrivas in i sin helhet innan du trycker på enter-tangenten.
Öppna först en terminal och skapa en mapp för filerna vi ska använda genom att skriva det här kommandot och trycka på enter:
mkdir Pegasus
Flytta sedan till Pegasus-mappen genom att skriva:
cd Pegasus
Nu måste du skapa mappar för MVT. Typ:
mkdir ioc backup decrypted checked
Därefter måste du skaffa en fil som innehåller indikatorer på misstänkt beteende. Stiga på:
wget https://raw.githubusercontent.com/AmnestyTech/investigations/master/2021-07-18_nso/pegasus.stix2 -O ioc/pegasus.stix2
Ditt nästa steg är att hämta MVT Docker-filen. Typ:
wget https://raw.githubusercontent.com/mvt-project/mvt/main/Dockerfile -O Dockerfile
Nu, för att ställa in Docker-bilden, skriv:
docker build -t mvt
Hur förbereder jag min iPhone för MVT-analys?
Först vill du förmodligen stoppa din iPhone-skärm från att stängas av under processen. Tryck på inställningar ikonen och tryck sedan på Display och ljusstyrka > Autolås > Aldrig för att se till att din iPhone-skärm förblir på.
Anslut sedan din iOS-enhet till datorns USB-port. Du måste nu stoppa USB-demonen som hanterar anslutningar mellan din dator och din iOS-enhet. Typ:
systemctl stop usbmuxd
Du kan behöva vänta lite på att den här processen ska avslutas och återgå till en $ kommandotolken. Kör nu Docker-behållaren genom att skriva hela kommandot:
docker run -it --privileged --rm -v /dev/bus/usb:/dev/bus/usb --net=host
-v $PWD/ioc:/home/cases/ioc
-v $PWD/decrypted:/home/cases/decrypted
-v $PWD/checked:/home/cases/checked
-v $PWD/backup:/home/cases/backup
mvt
Tryck enter efter mvt. Du arbetar nu inuti Docker-behållaren och din kommandotolk bör ändras till något i stil med: [email protected]:/home/cases# Starta USB-demonen igen genom att ange:
usbmuxd
Din iPhone bör visa ett meddelande som frågar om du vill lita på datorn, så tryck på Förtroende och ange ditt iPhone-lösenord om du begär det.
Kontrollera att din iPhone är ansluten till din dator genom att skriva:
ideviceinfo
En lyckad anslutning bör spruta ut mängder av teknisk data i terminalen. Om du får ett “enhet inte upptäckt”-felet, försök att starta om din iPhone och upprepa kommandot.
Du är nu redo att göra en säkerhetskopiering till din dator. En krypterad säkerhetskopia gör att processen samlar in mer information från enheten, så om du inte har ett lösenord som skyddar din enhet måste du aktivera kryptering genom att skriva:
idevicebackup2 backup encryption on -i
Om du redan har aktiverat kryptering kommer terminalen att berätta detta. Om inte, välj ett lösenord och ange det när du uppmanas. För att köra säkerhetskopieringen, skriv:
idevicebackup2 backup --full backup/
Beroende på hur mycket information som finns på din enhet kan denna procedur ta ganska lång tid. För att bekräfta att säkerhetskopieringen har lyckats anger du:
Run ls -l backup
Detta bör ge dig namnet på säkerhetskopian som du behöver för nästa steg. Nu finns säkerhetskopian på din dator, du kan dekryptera den genom att skriva:
mvt-ios decrypt-backup -p <enter your backup password here> -d decrypted backup/<enter backup folder name here>
Kommandot du anger bör se ut ungefär så här:
mvt-ios decrypt-backup -p password1234 -d decrypted backup/4ff219ees421333g65443213erf4675ty7u96y743
Med säkerhetskopian dekrypterad kan du gå vidare till analysstadiet. För att analysera säkerhetskopian kommer MVT-verktyget att jämföra den med en stix2-fil som innehåller exempel på skadlig aktivitet. För att köra jämförelsen använd:
mvt-ios check-backup -o checked --iocs ioc/pegasus.stix2 decrypted
MVT kommer sedan att skapa en serie JSON-filer som innehåller resultaten av jämförelsen. Du kan kontrollera dessa resultat med detta kommando:
ls l checked
Öppna nu mappen som heter “checked” inuti Pegasus huvudmapp. Leta efter alla JSON-filer med _detected i slutet av deras filnamn. Om det inte finns några, kunde verktyget inte hitta bevis på en Pegasus-infektion. Om det finns _detekterade filer kanske du vill kopiera mapparna med namnet backup, dekrypterade och kontrollerade till en säker krypterad plats för framtida referens.
För att avsluta Docker-behållaren, skriv:
exit
Vad händer om MVT hittar bevis på en Pegasus-attack?
Om det finns några filer märkta som _detected är det förmodligen dags att kontakta en cybersäkerhetsexpert och byta telefon och nummer.
Du bör behålla din infekterade telefon som bevis, men stäng av den och håll den isolerad och långt från viktiga samtal, helst i en Faraday-bur.
Du bör avauktorisera din telefon från alla onlinetjänster och använda en annan maskin för att ändra lösenordet på alla konton som nås via den misstänkta enheten.
Hur kan jag skydda min iPhone från Pegasus?
Detta spionprogram använder många kända och okända attackmetoder, men det finns några steg du kan vidta för att minska dina chanser att bli utsatt för intrång:
Det borde vara självklart att du behöver säkra din telefon med en PIN-kod eller helst ett starkt lösenord. Uppdatera operativsystemet regelbundet. Avinstallera appar som du inte använder för att minimera attackytan. Facetime, Apple Music, Mail och iMessage är kända för att vara sårbara för Pegasus-infektionen, men du använder förmodligen åtminstone ett par av dem. Starta om din telefon minst en gång om dagen eftersom detta kan rensa spionprogrammet från RAM-minnet och göra livet svårare för det att fungera korrekt. Klicka inte på länkar i några meddelanden från okända nummer, även om du förväntar dig en paketleverans.
Pegasus: Bör du vara orolig?
Pegasus är ett av de värsta exemplen på spionprogram vi sett hittills. Även om antalet personer som rapporterats hittills inte är enormt på global nivå, betyder det faktum att angripare kan rikta in sig på en enhet med sådana nollklicksmetoder att alla enheter med samma operativsystem är sårbara.
Det kan bara vara en tidsfråga innan andra grupper replikerar Pegasus-tekniker och detta borde vara en väckarklocka till alla att ta mobilsäkerhet på mycket mer allvar.
Om författaren
Joe McCrossan (9 artiklar publicerade)
Joe McCrossan är en frilansskribent, volontär teknisk felsökare och amatörcykelreparatör. Han gillar Linux, öppen källkod och alla typer av häpnadsväckande innovationer.
Mer från Joe McCrossan
Prenumerera på vårt nyhetsbrev
Gå med i vårt nyhetsbrev för tekniska tips, recensioner, gratis e-böcker och exklusiva erbjudanden!
Klicka här för att prenumerera
