Pełna ochrona przed Pegasusem nie jest możliwa technicznie. Dlatego wzywamy do wprowadzenia globalnego moratorium na sprzedaż, stosowanie i eksport tego oprogramowania do czasu wprowadzenia uregulowań prawnych - mówi ekspert z Amnesty International Security Lab.

Michał Kokot: Jak ustaliliście, polskie służby próbowały zainfekować Pegasusem telefony dawnej asystentki Krzysztofa Brejzy i jego ojca, wysyłając im wiadomości z zainfekowanymi linkami. Jak bardzo ta metoda jest podobna do sposobów znanych wam w innych krajach?

Donncha O`Cearbhaill, Amnesty International Security Lab: Widać wyraźne podobieństwa w tym, jak te wiadomości były pisane [do Ryszarda Brejzy i Magdaleny Łośko].

Operatorzy Pegasusa są szkoleni w dostosowywaniu wiadomości tak, by zainteresować osobę, która ma być przedmiotem inwigilacji - żeby kliknęła w link. Analizując inne wiadomości, często widzieliśmy SMS-y z nagłówkami, które mogą zainteresować cel.

icon/Bell Czytaj ten tekst i setki innych dzięki prenumeracie
Wybierz prenumeratę, by czytać to, co Cię ciekawi
Wyborcza.pl to zawsze sprawdzone informacje, szczere wywiady, zaskakujące reportaże i porady ekspertów w sprawach, którymi żyjemy na co dzień. Do tego magazyny o książkach, historii i teksty z mediów europejskich. 
 
Anna Gamdzyk-Chełmińska poleca
Podobne artykuły
Więcej
    Komentarze
    Pegasys powinien być zakazany. Żadnych kontroli itp bzdur. Przez brak decyzji, tchórzliwość, kompromisy powstaje szara strefa, w której żyją szczury kamińskie i wąsiki, kaczyński i szajka ZZ.
    @manka

    Wojny powinny zostać zakazane. Przez chciwość i kompromisy wojny są, a to złe.
    już oceniałe(a)ś
    4
    1
    @manka
    to jedź do Izraela i im zakaż, szabas szalom!
    już oceniałe(a)ś
    0
    1
    @manka
    Gdyby twórcy systemów operacyjnych przykładali się do pracy to Pegasus byłby bezużyteczny.
    Czemu nie można podać do sądów Apple, Microsoft i firm które instalują dziurawe systemy operacyjne?
    Boeing za swoje dziurawe oprogramowanie musiał zapłacić.
    już oceniałe(a)ś
    1
    0
    Podstawowa zasada to przede wszystkim założenie, że ma się telefon na "podsłuchu" i przerzucenie się na szyfrowanie poza telefonem. Wzywam opozycję aby zawsze wychodziła z takiego zalozenia a gwarantuje, że nie będzie zdziwienia. Do tej pory nie mogę zrozumieć jak można było w okresie wyborczym nie mieć ekspertów od bezpieczeństwa i własnego systemu porozumiewania się. To się da zrobić.
    @Gentileschi
    Jak można było? Normalnie. Nikt normalny nie myśli kategoriami nienormalnych z pis.
    już oceniałe(a)ś
    6
    0
    @Gentileschi
    A skąd wiesz, że nie mieli takiego systemu?
    już oceniałe(a)ś
    1
    0
    NSO Group jednak sprzedało grupie przestępczej Pegasusa. O jednej wiem na pewno.
    @Ww6119
    Właśnie chciałem o tym pisać, że przecież o jednej grupie przestępczej wiadomo.
    już oceniałe(a)ś
    0
    0
    Pegasus i inne trojany instalują się przez (zamierzone i niezamierzone) luki w systemach operacyjnych (Android, IOS czy innych). Należy zobowiązać Googla i Apple (ich producentów) do analizy, jeżeli trzeba ciągłej analizy luk, ze szczególnym tych umożliwiających działanie oprogramowania szpiegowskiego. Również do opracowania oprogramowania wykrywającego i deaktywującego takie programy. Oraz do większej jawności w tym, co robią oni sami (bo jest możlwie, że robią wiele współpracując lub pozostawiając własne luki, udostępniając dane itp). Ja czy ty nie zrobimy wiele, ale największe rządy świata mam nadzieję, że tak. To gigantyczny i narastający problem, przekreślający ideę Demokracji.
    @Cyklistaaleniewegetarianin
    Google i Apple wykonują ciągłą analizę luk i regularnie wypuszczają aktualizacje systemów zamykających znalezione. Płacą też bardzo konkretne pieniądze za informacje o wykrytych lukach, znam ludzi którzy na tym zarabiają. NSO musi płacić więcej, między innymi dlatego Pegasus jest taki drogi.
    już oceniałe(a)ś
    5
    0
    @Cyklistaaleniewegetarianin
    Moim zdaniem, rozwój systemów operacyjnych na telefony idzie w kierunku, który ułatwia życie oprogramowaniu szpiegującemu. IOS i Android mają jądro uniksowe (iOS - BSD i mikrojądro Mach-3, Android - linux), ale zostały tak zorganizowane, że właściciel telefonu jest w zasadzie ubezwłasnowolniony - nie może (a przynajmniej - nie może łatwo) uzyskać uprawnień administratora. Jeśli pegasus nie działa jako hypervisor, lub nie podkłada własnego, zmodyfikowanego jądra, tylko jest jednym lub kilkoma programami, funkcjonującymi pod kontrolą jądra - a przyznaję, że nie wiem, jak działa - to sam użytkownik, z uprawnieniami administratora, powinien być w stanie go namierzyć i nawet usunąć. Czy zostały może zebrane jakieś doświadczenia ze "zrootowanym" Androidem?
    już oceniałe(a)ś
    6
    1
    @Cyklistaaleniewegetarianin
    Symantec lub Kaspersky załatwią sprawę trojana w PC pod Windows 10 na amen, ale w smartphon są bezradne, tak gdają znajomi, ja im wierzę. J...ć smartfony! Już pewniej skakać po kanałach CB radia, gdy odległość pozwala, albo gadka tetatet na polu.
    już oceniałe(a)ś
    0
    0
    @lesny__dziadek
    No więc dobrze, że przyznajesz że nie wiesz jak działa, bo działa zupełnie inaczej niż komputer. W szczególności ma sprzętowe szyfrowanie i sprzętową izolację dla zaufanych elementów. Wszystko co działa w wyższym modzie zaufania musi być podpisane przez zaufaną stronę i sprzętowo jest zapewnione, by nie mogło być zmodyfikowane podczas wykonywania. Dlatego w telefonach (w przeciwieństwie do komputerów) atakującemu tak trudno dodać swoje komponenty do systemu operacyjnego, a takie świństwa jak Pegasus znikają przy restarcie telefonu i atakujący musi wtedy udanie powtarzać atak by nadal mógł podsłuchiwać.
    już oceniałe(a)ś
    1
    1
    @staccato
    "Symantec lub Kaspersky załatwią sprawę trojana w PC pod Windows 10 na amen, ale w smartphon są bezradne"
    Ciekaw jestem, ja używam Nortona na Androidzie (mam licencję na 10 urządzeń, w tym komputery i smartfony, zresztą kupiłem ją dawno temu w promocji za śmieszne pieniądze, teraz jak zobaczyłem, za ile się subskrypcja odnowiła, to zabolało, ale to nie o tym). Pewnie Pegasusa by nie wykrył, ale może jednak? Bo działa na różnych poziomach, zarówno skanując pliki, czyli jak dawne antywirusy, ale też skanując zachowanie, np. ostrzega mnie, że program do nagrywania rozmów telefonicznych jest niebezpieczny, bo przechwytuje rozmowy.
    już oceniałe(a)ś
    2
    0
    @misio999
    "NSO musi płacić więcej, między innymi dlatego Pegasus jest taki drogi"
    - słyszałem też, że ataki zero-click są ekstra płatne i są to naprawdę ekstra pieniądze - właśnie dlatego, że szuka się luk w konkretnym urządzeniu, z konkretnym oprogramowaniem...
    już oceniałe(a)ś
    0
    0
    @misio999
    Ależ tak może (choć nie musi) działać komputer, którego użytkownik nie ma nic do gadania. Zresztą smartfony są komputerami z dodatkową funkcją telefonowania. Przyznałem się, że nie wiem, jak działa pegasus, a nie jakie zabezpieczenia sprzętowo-kryptograficzne stosowane są w telefonach, tylko że to drugie też może być prawdą. Sam używam starej Nokii :-). Wiem, że Android używa modelu uniksowego do izolacji aplikacji od siebie nawzajem, tzn. każda aplikacja dostaje własny identyfikator użytkownika. Do wykonania pewnych funkcji trzeba na chwilę poszerzyć sobie uprawnienia - są do tego dostępne odpowiednie, legalne mechanizmy, a dziury w ich implementacji mogą być wykorzystane przez malware wszelakiego rodzaju.
    Jeżeli jest tak, jak piszesz, to wyjęcie na minutę baterii powodowałoby przywrócenie ustawień fabrycznych i usunięcie wszystkich programów, zainstalowanych przez użytkownika całkowicie legalnie. A tak chyba nie jest, bo użytkownicy by się zbuntowali :-). Oprogramowanie szpiegowskie wykorzystuje te same mechanizmy, co inne programy, tylko bez wiedzy i zgody użytkownika. Zgadzam się, że kontrolowane sprzętowo, w opisany przez Ciebie sposób, może byc jądro, a to by oznaczało, że pegasus jest "normalną" aplikacją, którą można namierzyć, mając uprawnienia administratora. Wracamy do punktu wyjścia.
    już oceniałe(a)ś
    1
    1
    @lesny__dziadek
    Ja mówię o zabezpieczeniach na jeszcze niższym poziomie. Mają je specjalne bezpieczne komputery, ale to raczej wyjątki. Dam Ci przykład: w normalnym laptopie jeżeli ktoś wyjmie i skopiuje sobie dysk i pozna/odgadnie hasło jego szyfrowania, ma dostęp do wszystkich danych z dysku. W telefonie jeżeli skopiujesz pamięć to nawet mając hasło nie odszyfrujesz jej, bo brak Ci kluczowego elementu - unikalnych danych zamkniętych w sprzętowym układzie szyfrującym. Musisz mieć oryginalny telefon aby odszyfrować jego pamięć.
    już oceniałe(a)ś
    0
    0
    @lesny__dziadek
    Dalej niewiele rozumiesz.

    Jest podobnie jak na komputerze - najtaniej jest, kiedy użytkownik sam sobie zainstaluje szkodnika coś tam klikając. Takie coś zapisuje się na stałe z konfiguracją zaakceptowaną przez użytkownika i przeżywa restart. Jednak nie wszystko daje się włączyć na stałe i część funkcji po restarcie może być nieaktywna i wymagać ponownego włączenia.

    Są też szkodniki zero-click, które same pchają się przez dziury i są aktywne, dopóki są w pamięci operacyjnej. Takie restartu nie przeżywają i wymagają ponownego wepchnięcia szkodnika w całości. Wyobraź sobie komunikator, który sam szkodnikiem nie jest. Po pierwszym uruchomieniu pozostaje w pamięci część rezydentna pracująca w tle, aby odbierać powiadomienia. Jeśli komunikator jest dziurawy, można spreparować powiadomienie, aby przejąć kontrolę nad komunikatorem. Komunikator ma domyślnie włączony dostęp do kamery i mikrofonu, więc do tego też uzyskuje dostęp Pegasus. Poza tym powiadomienia mogą mieć ograniczony termin ważności i same znikać z listy, co utrudnia wykrycie szkodnika. SMS-y same nie znikają.
    już oceniałe(a)ś
    0
    0
    @a_usher
    Wiecie czym różnią się dyskusje na polskich forach od dyskusji wszystkich innych niepolskich? Tym, że w PL stosunkowo często osoba pisząca nawet całkiem ciekawe rzeczy rozpocznie słowami "Dalej niewiele rozumiesz" czy "więc dobrze, że przyznajesz że nie wiesz jak działa", mimo że rozmówca mówił konkretnie o Pegasusie... Ale zawsze fajnie tak komuś przypier...lić, dla poprawy polskiego, narodowego humoru.
    już oceniałe(a)ś
    0
    0
    @a_usher
    interesująca informacja w temacie, że wystarczy by trojan miał uprawnienia Whatsupp'a, ktory ma je bardzo duże, włącznie z czytaniem pamięci telefonu i praktycznie wszystkiego innego. Szkoda tylko, że zacząłeś tak jak zacząłeś. Bądź milszy dla ludzi, dobrze to wszystkim zrobi.
    już oceniałe(a)ś
    0
    0
    @a_usher
    Cudów nie ma. Skoro nie rozumiem, to spróbujemy to rozkminić.
    Opisujesz sytuację, w której szkodnik nie łamie systemowych barier, tylko ładuje się przez znaną dziurę w aplikacji i "przejmuje nad nią kontrolę". Tylko nad nią, a nie nad całym telefonem - jak to zwykle przedstawiają media (dlatego szedłem pierwotnie tym tropem). Oznacza to, że 1. poprzez komunikat przesyła własny kod, bo bez niego nie zrobi absolutnie nic. 2. Przesłanie kończy się wymuszeniem uruchomienia tego kodu - i to jest prawdziwa dziura - bo kod nieaktywny może sobie być w pamięci, ale nadal nic nie robi. To jest świat rzeczywisty, a nie film sensacyjny. Teraz pytanie, czy szkodnik działa w kontekście programu-ofiary, subtelnie modyfikując jego kod tak, żeby program ten dalej działał i człowiek się nie zorientował, że coś się stało, czy tworzy własny proces, z tym samym identyfikatorem użytkownika, żeby zapisać swoją konfigurację, kod i "przeżyć restart" - co dla systemu jest całkowicie legalne, bo proces pisze do plików, do których ma stosowne uprawnienia? W tym drugim przypadku, widać by go było przy zwykłym wylistowaniu wszystkich procesów, z danym identyfikatorem użytkownika. BTW, wydawało mi sie, że przed takimi atakami umiemy się bronić od dawna, ale jak widać, w oprogramowaniu telefonów króluje dziadostwo.
    już oceniałe(a)ś
    0
    0
    @lesny__dziadek
    Wszystko zależy od charakteru dziury. Stopień zagrożenia i możliwość wykorzystania znanych dziur masz opisany w stosownych serwisach, więc nie będę zgadywał, które z tych dziur były znane w NSO i z jakim wyprzedzeniem, zanim zostały opisane publicznie.
    Im poważniejsza dziura, tym jej wykorzystanie jest liczone drożej w cenniku. W przypadku najtańszych ataków może się instalować regularna apka widoczna na liście pod mylącą nazwą, bo czego się spodziewasz np. po com.loginverify.ccc?
    W przypadku Androida apki instalowane z Google Play mają przypisany standardowy zestaw uprawnień zależny od kategorii, do której została zgłoszona apka. Użytkownik potem może te uprawnienia zmienić, w szczególności może zezwolić na instalowanie apek z innych źródeł, a z drugiej strony wyłączyć automatyczne instalowanie aktualizacji. I tu robi się miejsce dla socjotechniki (przekonać użytkownika, żeby dokonał właściwych zmian ustawień) lub wykorzystania dziur (zainstalowana apka sama się o siebie troszczy). Tyle krótko o działanie na poziomie użytkownika, w działania na poziomie dziur w systemie nie wnikałem. W dalsze szczegóły nie będę się wdawał, bo mogę zbyt dużo sam poprzekręcać.
    już oceniałe(a)ś
    0
    0
    @a_usher
    Dzięki. Właściwie to sprowadziliście, z @misio999, moje wyobrażenia o pegasusie na ziemię. Media przedstawiają go, jak to media, w charakterze telefonicznej Nemesis, której imienia nie wolno nawet pomyśleć, bo już się ma zainfekowany telefon :-). Wyobrażałem sobie więc zhakowane klucze kryptograficze, używane przez Trusted Program Module - czyli niezamykalne tylne drzwi do systemu, przez które instaluje się zamaskowany szkodnik, monitorujący wszystkie funkcje telefonu i skutecznie ukrywający się jako hypervisor lub przynajmniej zmodyfikowane jądro. Tymczasem guzik - to może być zwykły malware jak każdy inny, instalujący się metodami socjotechnicznymi i wykorzystujący prostackie zaniedbania w kodzie aplikacji sieciowych.
    już oceniałe(a)ś
    0
    0
    @lesny__dziadek
    *Trusted Platform Module
    już oceniałe(a)ś
    0
    0
    @lesny__dziadek
    Krótko mówiąc nikt nic nie wie.
    Za wyjątkiem tego, że cały ten pegasus musi spełniać powszechnie znane w informacyce prawa fizyki.
    już oceniałe(a)ś
    0
    0
    Buahaha.....moratorium....to moze jeszcze umowmy sie ze nie bedziemy sie szpiegowac, rozwiazmy służby zapalmy fajkę i pospiewajmy sobie wesole kumbaja tanczac przy ognisku...
    @CityofLondon

    Moratorium na software, haha, ci ludzie żyją w kompletnej fantazji.
    już oceniałe(a)ś
    4
    1
    Dzięki służbom i temu, że Pegasus zoztał wykorzystany przeciwko uczciwym ludziom (nie przestępcom), należącym do dobrze zorganizowanych partii politycznych, Amnesty International Security Lab ma bardzo bogaty materiał badawczy na temat Pegasusa. Niesłychanie wzrosła wiedza na ten temat po dostarczeniu do Toronto kilkuset telefonów z Polski.
    @cyrknoca
    został
    już oceniałe(a)ś
    1
    0
    Zwracam uwagę że samochody zawierają też mikrofony i posiadają system operacyjny. Dużo modeli ma już wifi . Odradzał bym jazdę takiej autem VIP które chcą coś ukryć .
    @jj7
    sama jazda chyba niczym nie grozi, jeśli się w jej trakcie nie pepla
    już oceniałe(a)ś
    0
    1
    @misiaczki
    Uwżasz, że da się ukryć swe myśli? Ja tam pewności nie mam.
    już oceniałe(a)ś
    0
    0
    @jj7
    sprytne telewizory też mają mikrofony. Laptopy też mają mikrofony... Za komuny nie miały, ale i tak ludzie się bali podsłuchów. WIęc robiło się to tak, że rozmawiało się w łazience, puściwszy wodę do wanny, aby szum zagłuszał. Niestety, z powodu zużycia wody trudno w dzisiejszych czasach polecać to rozwiązanie. Można zamiast tego próbować wentylatorów z przyczepionymi jakimiś paskami z bibułki, albo po prostu apki w telefonie do generowania białego szumu.
    już oceniałe(a)ś
    0
    0
    "Podstawowa zasada bezpieczeństwa brzmi, by zawsze mieć urządzenie w pełni zaktualizowane, z najnowszymi poprawkami bezpieczeństwa i zabezpieczeniami. Mogą one co prawda nie zawsze powstrzymać bardziej wyrafinowane programy, takie jak Pegasus, przed zainfekowaniem, to jednak nadal będą chronić przed wieloma zagrożeniami naszego bezpieczeństwa i prywatności."

    I oczywiście nie klikać w linki w sms.

    Z Pegasusem trudno walczyć, ale przy okazji warto sobie przypomnieć, że są zasady, które wszyscy z nas powinni stosować. Nawet, jak nie jesteśmy politykami, to warto, by do naszej bankowości nikt nie wszedł. Choć może się okazać, że nasza praca i np. wiadomości zawodowe czy z jakiejś fundacji też będą dla kogoś interesujące...

    Napisałem tu podobny edukacyjny (bardziej rozbudowany) komentarz pod artykułem "Pegasus. Amnesty International publikuje listę zainfekowanych SMS-ów, które dostali polscy politycy [LISTA]" i jakiś bandzior z działu moderacji go usunął (wrzuciłem już ponownie); to coś niebywałego, myślicie, że tam utajnieni agenci siedzą? Czy może uznali że pisząc o bezpieczeństwie dotyczącym każdego obrażam podsłuchiwanych Pegasusem polityków i inne grube ryby?
    już oceniałe(a)ś
    8
    3