Giải thích: Cách phần mềm gián điệp Pegasus lây nhiễm vào thiết bị; dữ liệu nào có thể bị xâm phạm

Dự án Pegasus: Phần mềm gián điệp của Israel, được tiết lộ là đã được sử dụng để nhắm mục tiêu hàng trăm điện thoại ở Ấn Độ, ngày càng ít phụ thuộc vào các cú nhấp chuột. Pegasus có thể lây nhiễm sang một thiết bị mà mục tiêu không biết hoặc không có sự tham gia của họ.

Pegasus là sản phẩm chủ lực của NSO Group (Hình minh họa nhanh)

Vào tháng 11 năm 2019, một phóng viên công nghệ từ Thành phố New York đã chụp ảnh một thiết bị đánh chặn được trưng bày tại Milipol, một triển lãm thương mại về an ninh nội địa ở Paris. Nhà triển lãm, NSO Group, đã đặt phần cứng ở phía sau của một chiếc xe tải, có lẽ cho thấy sự tiện lợi về tính di động và cho biết nó sẽ không hoạt động trên các số điện thoại của Hoa Kỳ, có thể do một hạn chế tự áp đặt của công ty.

Kể từ khi gã khổng lồ mạng Israel được thành lập vào năm 2010, đây có lẽ là lần đầu tiên Trạm thu phát sóng di động (BTS) do NSO sản xuất được xuất hiện trong một báo cáo truyền thông.

BTS - hoặc ‘tháp di động giả mạo’ hoặc ‘IMSI Catcher’ hoặc ‘cá đuối’ - mạo danh tháp di động hợp pháp và buộc điện thoại di động trong bán kính kết nối với nó để kẻ tấn công có thể thao túng giao thông bị chặn. BTS được chụp vào năm 2019 bao gồm các thẻ xếp chồng theo chiều ngang, có khả năng cho phép đánh chặn trên nhiều dải tần.

Tùy chọn khác là tận dụng quyền truy cập vào chính nhà cung cấp dịch vụ di động của mục tiêu. Trong trường hợp đó, kẻ tấn công sẽ không cần bất kỳ tháp di động giả mạo nào mà sẽ dựa vào cơ sở hạ tầng mạng thông thường để thao túng.

Dù bằng cách nào, khả năng khởi động các cuộc tấn công 'chèn mạng' - được thực hiện từ xa mà không có sự tham gia của mục tiêu (do đó, cũng được gọi là zero-click ) hoặc kiến ​​thức —gave Pegasus , Sản phẩm hàng đầu của NSO Group, một lợi thế độc đáo so với các đối thủ cạnh tranh trên thị trường phần mềm gián điệp toàn cầu.

Pegasus hiện là trung tâm của một dự án điều tra hợp tác toàn cầu đã phát hiện ra rằng phần mềm gián điệp đã được sử dụng để nhắm mục tiêu, trong số những người khác, hàng trăm điện thoại di động ở Ấn Độ .

Pegasus khác với các phần mềm gián điệp khác như thế nào?

Pegasus hay còn gọi là Q Suite, được tiếp thị bởi NSO Group hay còn gọi là Q Cyber ​​Technologies như một giải pháp tình báo mạng hàng đầu thế giới cho phép các cơ quan thực thi pháp luật và tình báo trích xuất dữ liệu từ xa và bí mật từ hầu hết mọi thiết bị di động, được phát triển bởi các cựu binh của cơ quan tình báo Israel.

Cho đến đầu năm 2018, các khách hàng của NSO Group chủ yếu dựa vào tin nhắn SMS và WhatsApp để lừa mục tiêu mở một liên kết độc hại, dẫn đến việc thiết bị di động của họ bị lây nhiễm. Một tập tài liệu của Pegasus mô tả đây là Thông điệp Kỹ thuật Xã hội Nâng cao (ESEM). Khi một liên kết độc hại được đóng gói dưới dạng ESEM được nhấp vào, điện thoại sẽ được chuyển hướng đến một máy chủ kiểm tra hệ điều hành và cung cấp phương thức khai thác từ xa phù hợp.

Trong báo cáo tháng 10 năm 2019 của mình, Tổ chức Ân xá Quốc tế lần đầu tiên ghi nhận việc sử dụng 'tiêm mạng' cho phép những kẻ tấn công cài đặt phần mềm gián điệp mà không yêu cầu mục tiêu tương tác. Pegasus có thể đạt được các cài đặt không cần nhấp chuột như vậy theo nhiều cách khác nhau. Một tùy chọn qua mạng (OTA) là gửi tin nhắn đẩy một cách bí mật khiến thiết bị mục tiêu tải phần mềm gián điệp, với mục tiêu không biết về cài đặt mà cô ta không có quyền kiểm soát.

Đây, một tờ rơi quảng cáo của Pegasus khoe khoang, là tính duy nhất của NSO, giúp phân biệt đáng kể giải pháp Pegasus với bất kỳ phần mềm gián điệp nào khác hiện có trên thị trường.

Loại thiết bị nào dễ bị tấn công?

Thực tế là tất cả các thiết bị. iPhone đã được nhắm mục tiêu rộng rãi với Pegasus thông qua ứng dụng iMessage mặc định của Apple và giao thức Dịch vụ thông báo đẩy (APN) mà nó dựa trên đó. Phần mềm gián điệp có thể mạo danh một ứng dụng được tải xuống iPhone và tự truyền tải dưới dạng thông báo đẩy qua máy chủ của Apple.

Vào tháng 8 năm 2016, Citizen Lab, một phòng thí nghiệm liên ngành có trụ sở tại Đại học Toronto, đã báo cáo sự tồn tại của Pegasus cho công ty an ninh mạng Lookout và cả hai đã đánh dấu mối đe dọa đối với Apple. Vào tháng 4 năm 2017, Lookout và Google đã công bố thông tin chi tiết về phiên bản Android của Pegasus.

Vào tháng 10 năm 2019, WhatsApp đã đổ lỗi cho NSO Group vì đã khai thác lỗ hổng trong tính năng gọi điện video của họ. Người dùng sẽ nhận được những gì có vẻ là một cuộc gọi điện video, nhưng đây không phải là một cuộc gọi bình thường. Sau khi điện thoại đổ chuông, kẻ tấn công đã bí mật truyền mã độc nhằm cố gắng lây nhiễm phần mềm gián điệp vào điện thoại của nạn nhân. Người đứng đầu WhatsApp Will Cathcart cho biết.

Vào tháng 12 năm 2020, một báo cáo của Citizen Lab đã đánh dấu cách các nhân viên chính phủ sử dụng Pegasus để hack 37 điện thoại của các nhà báo, nhà sản xuất, nhân viên quản lý và giám đốc điều hành tại Al Jazeera và Al Araby TV có trụ sở tại London trong thời gian từ tháng 7 đến tháng 8 năm 2020, khai thác zero-day ( một lỗ hổng mà các nhà phát triển chưa biết) chống lại ít nhất iOS 13.5.1 có thể tấn công chiếc iPhone 11 mới nhất của Apple. các cuộc tấn công, với sự lan rộng toàn cầu của cơ sở khách hàng của NSO Group và lỗ hổng rõ ràng của hầu hết các thiết bị iPhone trước khi cập nhật iOS 14.

Phần mềm gián điệp có luôn xâm nhập vào bất kỳ thiết bị nào mà nó nhắm mục tiêu không?

Thông thường, kẻ tấn công chỉ cần cung cấp cho hệ thống Pegasus số điện thoại mục tiêu để đưa vào mạng. Phần còn lại được thực hiện tự động bởi hệ thống, một tài liệu quảng cáo của Pegasus cho biết, và phần mềm gián điệp được cài đặt trong hầu hết các trường hợp.

Tuy nhiên, trong một số trường hợp, tiêm mạng có thể không hoạt động. Ví dụ: cài đặt từ xa không thành công khi thiết bị đích không được hệ thống NSO hỗ trợ hoặc hệ điều hành của nó được nâng cấp với các biện pháp bảo vệ an ninh mới.

Rõ ràng, một cách để tránh Pegasus là thay đổi trình duyệt điện thoại mặc định của một người. Theo tài liệu quảng cáo của Pegasus, cài đặt từ các trình duyệt không phải là trình duyệt mặc định của thiết bị (và cả chrome dành cho thiết bị dựa trên Android) không được hệ thống hỗ trợ.

Trong tất cả các trường hợp như vậy, quá trình cài đặt sẽ bị hủy bỏ và trình duyệt của thiết bị mục tiêu sẽ hiển thị một trang web vô hại được xác định trước để mục tiêu không có dấu vết của lần thử không thành công. Tiếp theo, kẻ tấn công có khả năng rơi lại mồi nhấp chuột ESEM. Tờ quảng cáo cho biết tất cả những thứ khác đều thất bại, Pegasus có thể được tiêm và cài đặt theo cách thủ công trong vòng chưa đầy năm phút nếu kẻ tấn công có quyền truy cập vật lý vào thiết bị mục tiêu.

Thông tin nào có thể bị xâm phạm?

Sau khi bị nhiễm, điện thoại sẽ trở thành gián điệp kỹ thuật số dưới sự kiểm soát hoàn toàn của kẻ tấn công.

Sau khi cài đặt, Pegasus liên hệ với máy chủ chỉ huy và kiểm soát (C&C) của kẻ tấn công để nhận và thực hiện các hướng dẫn cũng như gửi lại dữ liệu cá nhân của mục tiêu, bao gồm mật khẩu, danh sách liên hệ, lịch sự kiện, tin nhắn văn bản và cuộc gọi thoại trực tiếp (thậm chí cả những cuộc gọi qua end-to ứng dụng nhắn tin được mã hóa -end). Kẻ tấn công có thể điều khiển máy ảnh và micrô của điện thoại, đồng thời sử dụng chức năng GPS để theo dõi mục tiêu.

Để tránh tiêu thụ băng thông rộng có thể cảnh báo mục tiêu, Pegasus chỉ gửi các bản cập nhật theo lịch trình tới máy chủ C&C. Phần mềm gián điệp được thiết kế để trốn tránh phân tích pháp y, tránh bị phần mềm chống vi-rút phát hiện và có thể bị vô hiệu hóa và gỡ bỏ bởi kẻ tấn công, khi và nếu cần thiết.

Người ta có thể thực hiện những biện pháp phòng ngừa nào?

Về mặt lý thuyết, vệ sinh mạng sắc sảo có thể bảo vệ khỏi bả ESEM. Nhưng khi Pegasus khai thác lỗ hổng trong hệ điều hành của điện thoại, người ta không thể làm gì để ngăn chặn việc xâm nhập mạng. Tệ hơn nữa, người ta thậm chí sẽ không nhận ra nó trừ khi thiết bị được quét tại phòng thí nghiệm bảo mật kỹ thuật số.

Việc chuyển sang một thiết bị cầm tay cổ điển chỉ cho phép các cuộc gọi và tin nhắn cơ bản chắc chắn sẽ hạn chế việc tiếp xúc dữ liệu, nhưng có thể không làm giảm đáng kể nguy cơ lây nhiễm. Ngoài ra, bất kỳ thiết bị thay thế nào được sử dụng cho email và ứng dụng sẽ vẫn dễ bị tấn công trừ khi một người từ bỏ hoàn toàn việc sử dụng các dịch vụ thiết yếu đó.

Do đó, cách tốt nhất người ta có thể làm là luôn cập nhật mọi bản cập nhật hệ điều hành và bản vá bảo mật do các nhà sản xuất thiết bị phát hành và hy vọng rằng các cuộc tấn công zero-day trở nên hiếm hơn. Và nếu ai đó có đủ tiền, thay đổi thiết bị cầm tay định kỳ có lẽ là biện pháp khắc phục hiệu quả nhất, nếu tốn kém.

Vì phần mềm gián điệp nằm trong phần cứng, kẻ tấn công sẽ phải lây nhiễm thành công thiết bị mới mỗi khi thay đổi. Điều đó có thể đặt ra những thách thức về hậu cần (chi phí) và kỹ thuật (nâng cấp bảo mật). Trừ khi một người chống lại các nguồn tài nguyên không giới hạn, thường được liên kết với quyền lực nhà nước.

Chia Sẻ VớI BạN Bè CủA BạN: