Pegasus (Spyware)

Pegasus ist eine Spyware des israelischen Unternehmens NSO Group zum Ausspähen von iOS- und Android-Geräten. Die Software kann unbemerkt auf sämtliche Daten zugreifen und sie über das Internet versenden.Olivia von Westernhagen: Spyware für iOS und Android: Pegasus soll Daten aus Cloud-Services stehlen können. In: heise.de. 22. Juli 2019, abgerufen am 23. Januar 2020. Pegasus wurde im August 2016 durch die Sicherheitsfirma Lookout und das Citizen Lab (Universität Toronto) entdeckt und analysiert. Sie gilt als eine der mächtigsten jemals entwickelten Cyberwaffen und wird in erster Linie an Staaten vermarktet. Laut den Entwicklern wird die Cyberware nur vertrieben, um Regierungen in der Bekämpfung von Terrorismus und Kriminalität zu unterstützen, jedoch wurden auch Journalisten, Menschenrechtler, Anwälte und Politiker mit Hilfe von Pegasus ausgespäht.

In den USA wurde das Unternehmen auf eine Verbotsliste gesetzt. Demnach ist eine Zusammenarbeit mit der US-Regierung, ihren Organisationen und Auftragnehmern untersagt.

Seit 2019 ist ein von WhatsApp angestrengtes Gerichtsverfahren gegen die NSO Group in den USA anhängig.

Entdeckung Ahmed Mansoor, ein international bekannter Menschenrechtsaktivist aus den Vereinigten Arabischen Emiraten, erhielt am 10. und 11. August 2016 jeweils eine SMS auf seinem iPhone 6 (iOS-Version 9.3.3),The Million Dollar Dissident: NSO Group’s iPhone Zero-Days used against a UAE Human Rights Defender. In: citizenlab.org, 24. August 2016, abgerufen am 29. August 2016. die auf neue Hinweise zu Menschenrechtsverletzungen aufmerksam machte und einen Link zu einer Webseite enthielt, die angeblich neue Geheimnisse enthülle. Der einzige Zweck dieser SMS war es, den Benutzer zum Anklicken des Links zu bewegen (Drive-by-Download). Anstatt auf den Link zu klicken, sendete Mansoor die Nachricht an einen befreundeten Sicherheitsspezialisten von Citizen Lab, der den Link in einer geschützten Entwicklungsumgebung ausführte und so den versuchten Hack entdeckte.

Analyse

Während einer ersten Untersuchung stellte Citizen Lab fest, dass der Link zu einer sogenannten „Exploit-Infrastruktur“ der israelischen Firma NSO Group gehört, da die verwendete Domain sms.webadv.co und deren IP-Adresse bereits bei Analysen in anderen Fällen auffällig geworden war. Diese Firma vermarktet unter der Bezeichnung Pegasus ein iOS-Spyware-Produkt ausschließlich an Regierungseinrichtungen, Strafermittler und Geheimdienste als Softwaredienstleistung. Pro Ziel werden nach Angaben von Lookout geschätzt 25.000 USD berechnet.Technical Analysis of Pegasus Spyware. In: lookout.com, abgerufen am 29. August 2016

Weitere gemeinsame Untersuchungen von Citizen Lab und Lookout führten zu einer Kette von sogenannten „Zero-Day“-Exploits – also noch nicht offiziell bekannten Sicherheitslücken in einem Softwareprodukt. Solche unbekannten Lücken sind selten und auf dem Schwarzmarkt entsprechend teuer (bis zu 1 Million Euro pro Lücke). Daher gilt ein professioneller Ursprung dieser Software als sicher. Bemerkenswert ist die Ausnutzung von gleich drei solcher „Zero-Day“-Exploits. Code-Fragmente lassen darauf schließen, dass Pegasus abwärts bis iOS-Version 7 einsetzbar ist.

Die Kette wurde „Trident“ getauft und besteht im Einzelnen aus folgenden Schwachstellen, die in angegebener Reihenfolge durchgeführt werden:

CVE-2016-4657: Eine Lücke im WebKit von iOS, die dazu führt, dass eine Webseite beim Öffnen aus der dafür vorgesehenen Umgebung (Sandbox) ausbrechen kann. CVE-2016-4655: Eine Lücke im Betriebssystem-Kernel bis Version 9.3.5, über die der Exploit Speicheradressen ermitteln kann. CVE-2016-4656: Ein Fehler in der Speicherverwaltung des iOS-Kernels bis Version 9.3.5, der einen Jailbreak ermöglicht. Konkret kann der Exploit darüber iOS-Schutzmechanismen außer Kraft setzen und Spionagesoftware mit uneingeschränkten Rechten auf dem Gerät installieren.

Infektionsweg Am 15. Dezember 2021 veröffentlichte das renommierte Sicherheitsteam von Google Project Zero einen Fachartikel mit einer ausführlichen Analyse des Infektionswegs. Als Basis diente ein durch die Menschenrechtsorganisation Citizen Lab analysierter Infektionsversuch bei einem saudischen Menschenrechtsaktivisten.

Der Angriff erfolgt grundsätzlich über iMessage in Form einer Nachricht mit einem Link zum Anklicken Nach dem Klick auf den Link wird eine PDF-Datei geladen, die vorgibt eine GIF-Grafik zu sein In dieser PDF-Datei befindet sich ein Schadcode, der eine Lücke in einem Grafikformat ausnutzt, das in den 1990er Jahren als Bildkomprimierung in Fotokopierern verwendet wurde Dieser Schadcode besteht aus über 70.000 Zeilen Code, der einen vollständigen Computer simuliert. Somit ist es den Angreifern möglich, aus dem PDF-Viewer auszubrechen und vollständige Systemrechte zu erhalten

Der leitende Ingenieur Samuel Groß bestätigte, dass es sich bei Pegasus um einen Angriff auf höchstem technischen Niveau handele, dessen ausgefeilte Strategie selbst erfahrene Sicherheitsforscher in Staunen versetze.

Nachbesserung in iOS 9.3.5 Nachdem Apple am 15. August 2016 über die Sicherheitslücken informiert wurde, stellte das Unternehmen am 25. August 2016 mit iOS 9.3.5 ein Update bereit, das die Schwachstellen schloss.About the security content of iOS 9.3.5. In: apple.com, 25. August 2016, abgerufen am 29. August 2016 Aufgrund des hohen Preises pro Ziel (25.000 US-Dollar) ist nicht davon auszugehen, dass eine breite Masse an Benutzern mit Pegasus infiziert wurde.

Weitere Entwicklung Ein im Juli 2021 durch Amnesty International veröffentlichter Report dokumentiert Spuren von erfolgreichen Pegasus-Angriffen auf iOS- und Android-Smartphones von 2014 bis Juli 2021. Betroffen waren Betriebssystemversionen bis iOS 14.6. Seit Mai 2018 wurden auch erfolgreiche „zero click“-Angriffe dokumentiert, bei denen keine Interaktion der Ausgespähten erforderlich ist.Forensic Methodology Report: How to catch NSO Group’s Pegasus. In: Amnesty.org, 18. Juli 2021, abgerufen am 7. September 2021 Pegasus benutzte dabei eine Vulnerabilität des JBIG2-Decoders auf iOS-Geräten. Dabei gelang es mit einer bitgenau vorbereiteten iMessage, innerhalb des Dekompressionslaufs im Speicher eine Art virtuellen Prozessor zu konstruieren, der dann als Bootloader für die Malware fungierte. So konnten iPhones völlig ohne Zutun („zero-click“) des Benutzers infiltriert werden. Google Project Zero beschrieb diesen unter der Bezeichnung „FORCEDENTRY“ bekanntgewordenen Hack als „einen der technisch ausgefeiltesten Exploits“, den sie je gesehen hätten.Ian Beer & Samuel Groß (Google Project Zero), 15. Dezember 2021: A deep dive into an NSO zero-click iMessage exploit: Remote Code Execution. Er wurde im September 2021 mit iOS 14.8 versperrt.

Citizen Lab berichtete im April 2023, dass auch 2022 Angriffe über die iOS-Versionen 15.1.1, 15.6 und 16.0.3 dokumentiert werden konnten. Pegasus nutzte dabei in einem Fall die „Wo ist“-Funktion eines Gerätes aus („LATENTIMAGE“) und in weiteren Fällen diese in Kombination mit einer iMessage („FINDMYPWN“). Eine weitere Angriffskette konnte über HomeKit und iMessage („PWNYOURHOME“) nachgewiesen werden, welche mit iOS 16.3.1 im Februar 2023 geschlossen wurde.

Funktionen Nach dem Anklicken des Links werden in oben genannter Reihenfolge die Schwachstellen ausgenutzt und ein sogenannter „versteckter Jailbreak“ durchgeführt. Für den Anwender öffnet sich kurz Safari und schließt sich dann selbstständig wieder, ohne dass irgendetwas auf die Infektion aufmerksam macht.

Die Spyware Pegasus prüft bei der Installation, ob bereits ein Jailbreak vorliegt, deaktiviert die Auto-Update-Funktion, um Sicherheitsupdates zu vermeiden, und nistet sich mit Root-Rechten in das Betriebssystem ein. Der Batteriestatus wird überwacht und die Art der Netzwerkverbindung, um ausspionierte Daten nur via WLAN an einen Command-&-Control-Server (C&C) verschlüsselt zu übermitteln (um verdächtigen Datenverbrauch im Mobilfunknetz zu vermeiden). Ebenfalls ist ein ausgefeilter Selbstzerstörungsmechanismus integriert, der Pegasus vollständig deinstalliert, wenn verdächtige Aktivitäten (Tracking) festgestellt werden.

Im Folgenden konnten die Forscher folgende Funktionen aufgrund der vorhandenen Bibliotheken ermitteln: Gesprächsaufzeichnung Kopieren des kompletten Adressbuches Abhören von Messengerkommunikation (SMS, iMessage, GMail, Viber, Facebook Messenger, Skype, Telegram, WhatsApp, Signal) Standortermittlung Batteriestatus Zugriff auf sämtliche Dokumente und Fotos Browserverlauf Gespeicherte Passwörter Gespeicherte WLAN-Passwörter und des Apple-Schlüsselbundes

Das Programm eröffnet damit alle Funktionen, die auch für staatliche Online-Durchsuchungen oder Quellen-Telekommunikationsüberwachung angewandt werden.

Die Financial Times berichtete im Juli 2019, Pegasus könne nicht nur auf die Geräte, sondern unbemerkt auch auf Daten in einer damit verbundenen Cloud zugreifen, indem es den Authentifizierungsschlüssel kopiere. Der Zugriff sei somit auch nach Entfernen des Programms vom Smartphone noch möglich.Überwachung: Spionagesoftware Pegasus kann wohl auf Cloud-Daten zugreifen. In: Die Zeit, 19. Juli 2019

Nutzung Im Zuge eines Untersuchungsausschusses im Europaparlament im Juni 2022 gab die Herstellerfirma an, insgesamt „etwa 60 Kunden in 45 Ländern“ und davon 14 EU-Länder zu haben oder gehabt zu haben. Dabei werden „etwa 12.000 bis 13.000 Ziele“ pro Jahr angegriffen.

Ausspähung von Journalisten, Menschenrechtlern, Politikern, Anwälten und anderen Im Jahr 2020 wurden Amnesty International und Forbidden Stories (letztere ist eine gemeinnützige Medienorganisation mit Sitz in Paris) eine Liste mit über 50.000 Telefonnummern zugespielt. Die beiden Organisationen nahmen an, dass es sich bei den Nummern um Ziele handelt, die von Kunden der israelischen Cyberwaffenfirma NSO Group ausgewählt worden waren. Diese zwei Organisationen teilten ihren Verdacht sowie alle erhaltenen Informationen mit 17 Medien: The Guardian (aus Großbritannien), Le Monde und Radio France (aus Frankreich), Die Zeit In: Zeit Online, 18. Juli 2021., Süddeutsche ZeitungFrederik Obermaier, Bastian Obermayer: So lief die Projekt-Pegasus-Recherche. In: Süddeutsche Zeitung, 18. Juli 2021., WDR und NDR (aus Deutschland), The Washington Post, CNN und Frontline (aus den USA), Haaretz (aus Israel), Aristegui Noticias und Proceso (aus Mexiko), Knack und Le Soir (aus Belgien), The Wire (Indien), Daraj (Syrien), Direkt36 (Ungarn) und OCCRP (International). Daraufhin schlossen sich diese Medien zu einem Recherchennetzwerk unter dem Namen Project Pegasus zusammen und werteten die erhaltenen Informationen gemeinsam aus.

Bei ihren Recherchen im Skandal um die Pegasus-Software stellten sie fest, dass etwa 15.000 der 50.000 der Telefonnummern aus Mexiko stammen. Sie stellten außerdem fest, dass sich unter den Nummern die von hunderten Geschäftsleuten und Führungskräften aus der Wirtschaft, religiösen Persönlichkeiten, Journalisten und andere Medienschaffenden, Menschenrechtsaktivisten, NGO-Mitarbeitern, Gewerkschaftsfunktionären, Militärs, sonstigen Beamten und Politikern befinden. Im Juli 2021 gaben die an der Recherche beteiligten Medien schließlich bekannt, dass sich der Verdacht bestätigt hat. Das Recherchenetzwerk fand heraus, dass zu den Staaten, die Pegasus zur Überwachung verwendeten, Mexiko, Indien, Marokko, Indonesien, Saudi-Arabien, die Vereinigten Arabischen Emirate, Kasachstan, Aserbaidschan, Togo, Ruanda sowie das EU-Mitgliedsland Ungarn gehören.