Jak wykryć i oswoić Pegaza

W temacie zakupu izraelskiego oprogramowania przez polskie służby i jego rzekomych możliwości powiedziane i napisane zostało już wiele. Mimo to, wciąż brak najważniejszej odpowiedzi. Czy przed Pegasusem można się bronić? Eksperci rozkładają ręce snując domysły, byli funkcjonariusze straszą, a dziennikarze biją na alarm. Tymczasem najlepszym narzędziem do obróbki pojawiających się w mediach informacji jest zawsze zdrowy rozsądek. Pegasus nie jest zagrożeniem nie z tego świata, z którym walczyć nie sposób. Owszem, jest niesamowitym narzędziem szpiegowskim, o możliwościach wykraczających poza wszystko, co do tej pory wymyślono, by zaspokoić ciekawość przysłowiowego „wielkiego brata”. Niemniej jednak został wymyślony przez człowieka, a jego działanie nie opiera się na magii, lecz wykorzystuje błędy popełnione przez innych ludzi, producentów telefonów, programistów, czy też w końcu nas samych, zwykłych użytkowników komórek, tabletów i komputerów. To stąd bierze się jego skuteczność, podobnie jak w przypadku innych produktów pojawiających się co jakiś czas na talerzu rządowych agencji. Wiedząc, że żadne z tych rozwiązań nie trwa wiecznie, założyciele NSO Group, producenta Pegasusa, postanowili wykorzystać swoje pięć minut. Podeszli do kwestii inwigilacji z rozmachem i w sposób kompleksowy. Zastąpili szereg funkcjonujących na rynku rozwiązań, obliczonych na wykorzystanie pojedynczych słabości systemu łączności komórkowej, jednym oferującym skuteczność wszystkich pozostałych. Współczesną komunikację elektroniczną można inwigilować na wiele sposobów. Od powszechnie znanych, takich jak oparte na nakazach sądowych podsłuchy prowadzone przez operatorów komórkowych, czy providerów internetowych, tradycyjne oprogramowanie szpiegowskie, przechwycenie kanałów łączności poprzez użycie spreparowanych stacji BTS (stacje bazowe telefonii komórkowej), systemów globalnej inwigilacji, czy instalację tradycyjnych urządzeń podsłuchowych, tzw. pluskiew. Każda z tych metod ma jednak swoje ograniczenia, a co raz powszechniejsze używanie komunikatorów, szyfrowanej transmisji danych, czy też VPN sprawia, że bywają bezużyteczne. Jak na tym tle wypada Pegasus? Otóż Pegasus to już zupełnie inna liga. To jak porównywanie Jasona Bourne’a, czy sierżantów Riggs’a i Murtaugh z Batmanem. Może i pierwsza trójka to ścisła czołówka filmowych twardzieli, ale Batman jest po prostu superbohaterem. Pegasus, w przeciwieństwie do pozostałych metod, może zostać zainstalowany zdalnie, bez jakiegokolwiek widocznego efektu i bez względu na odległość dzielącą operatora i urządzenie będące jego celem. Nie potrzebny jest więc dostęp do niego, ani nawet przebywanie w pobliżu. Wystarczy znać numer telefonu. Możliwe jest również zarażenie urządzenia docelowego bez interakcji ze strony jego użytkownika. Nie ma potrzeby klikania jakichkolwiek linków lub otwierania wiadomości, o czym powiemy dalej. Operator systemu po wskazaniu celu, infekuje go za pomocą oprogramowania, które nazywamy agentem. Najistotniejszą cechą izraelskiego produktu jest to, że dąży on do instalacji w samym sercu urządzenia, a zatem w jądrze systemu. Oznacza to, że ma dostęp do absolutnie wszystkich trwających procesów oraz pełnej zawartości zainfekowanej komórki, a jego wykrycie jest niezwykle trudne. Oznacza to również, że nie straszne mu szyfrowane komunikatory, nawet te działające w oparciu o technologię „end to end”. Działając w obszarze jądra systemu Pegasus przekazuje swojemu operatorowi wszystko to, co dzieje się tuż przed zaszyfrowaniem transmisji wychodzącej i chwilę po odszyfrowaniu przychodzącej. W przypadku monitorowania urządzenia w czasie rzeczywistym, Pegasus pokaże swojemu operatorowi nawet te wiadomości, których nie wyślemy, a jedynie napiszemy, później kasując, lub pozostawiając je w formie draftu. Oczywiście wszelka komunikacja pomiędzy zainstalowanym na urządzeniu agentem, a operatorem jest zaszyfrowana i odbywa się w formie skompresowanych pakietów. Zazwyczaj są one przesyłane w chwili, kiedy zainfekowane urządzenie ma dostęp do sieci Wi-Fi, choć może również być prowadzona za pomocą komórkowej transmisji danych. W przypadku, gdy agent nie ma możliwości przesłania wykradzionych danych, przechowuje je w specjalnie utworzonym i zaszyfrowanym buforze, którego rozmiar nie może przekroczyć 5% wolnych zasobów urządzenia. Jest on niewidoczny dla użytkownika, a jego wpływ na pracę smartfona nieodczuwalny. Podobnie sprawa ma się w kwestii obciążenia zainfekowanego systemu. Wszystko zostało przez izraelskich programistów zoptymalizowane pod kątem jak największej lekkości. W przypadku, gdy poziom naładowania baterii szpiegowanego urządzenia spadnie poniżej 5%, program się dezaktywuje, by uruchomić się ponownie po jej doładowaniu. Podobnie dzieje się, kiedy śledzona komórka zacznie korzystać z roamingu, na przykład podczas wyjazdu zagranicę.  Ciekawym rozwiązaniem jest również opcja autodestrukcji. Jeśli agent uzna, że istnieje możliwość jego wykrycia, usunie się z urządzenia automatycznie nie pozostawiając żadnych śladów. Podobnie zresztą dzieje się, jeżeli usunięcie wymusi operator.