rządowy trojan (komercyjne oprogramowanie szpiegujące)

Rządowy trojan (komercyjne oprogramowanie szpiegujące, ang. mercenary spyware) to narzędzie inwigilacji budowane i sprzedawane przez firmy prywatne służbom państwowym. Przejmuje telefon konkretnej, wskazanej osoby, zwykle przez niezałatane luki i bez udziału ofiary, i daje operatorowi dostęp do jej wiadomości, rozmów i plików. Najlepiej opisanym przykładem jest Pegasus izraelskiej firmy NSO Group; według wycieku jej dokumentacji zbiera on między innymi lokalizację, historię połączeń, hasła i pliki, a rozmowy przez Skype czy WhatsApp przechwytuje na bieżąco ^[1]. Apple określa takie narzędzia jako oprogramowanie szpiegujące sponsorowane przez państwa ^[6].

Jak działa

Rządowy trojan to odmiana, jaką przybiera oprogramowanie szpiegowskie (spyware), gdy klientem jest państwo. Operator wskazuje cel, a dostawca zapewnia drogę do jego telefonu. Według dokumentacji NSO opisanej przez Niebezpiecznika do rozpoczęcia ataku wystarczał numer telefonu albo adres e-mail ofiary, a narzędzie nie wymagało współpracy z operatorem GSM ^[1]. Licencje były roczne, z opłatami za aktualizacje ^[1].

Najgroźniejsze są ataki typu zero-click, które wykorzystują zero-day, czyli lukę nieznaną producentowi. Przebieg takiego ataku przez komunikator pokazuje schemat poniżej.

RYS. 1Infekcja zero-click przez komunikator

Ofiara nie musi niczego klikać. Zanim zobaczy wiadomość, exploit działa już w procesie, który przetwarza załącznik w tle. W przypadku FORCEDENTRY Apple opisało błąd krótko: przetworzenie spreparowanego pliku PDF może prowadzić do wykonania dowolnego kodu ^[4]. Luka dotyczyła nie tylko iOS, ale też macOS i watchOS ^[4]. Według Apple napastnicy zakładali fałszywe konta Apple ID, by dostarczać złośliwy kod na urządzenia ofiar, a same systemy Apple nie zostały przy tym włamane ^[6]. W odpowiedzi firma zapowiedziała w iOS 15 ulepszenia zabezpieczeń, w tym wzmocnioną ochronę BlastDoor ^[6].

Odmiany

Dokumentacja Pegasusa z 2019 roku wymieniała kilka dróg infekcji ^[1].

Wariant z linkiem to odmiana, jaką przyjmuje smishing połączony ze spear phishingiem. Wariant sieciowy to man-in-the-middle (MITM). W 2020 roku Niebezpiecznik opisał infekcję marokańskiego dziennikarza Omara Radiego, której dokonano przez przekierowanie ruchu jego iPhone'a w sieci LTE na serwer infekujący; ofiara nie kliknęła żadnego podejrzanego linku ^[3].

W WordPressie

Wariant sieciowy dotyczy także zwykłych stron internetowych. W przypadku Radiego złośliwy kod wstrzyknięto w nieszyfrowane połączenie HTTP, a do ataku wystarczył nieszyfrowany obraz osadzony na stronie albo w aplikacji ^[3]. Strona WordPress podawana bez szyfrowania może więc stać się nośnikiem ataku na odwiedzającego, choć sama nie zostanie przejęta. Przed wstrzyknięciem w ruch chroni poprawny certyfikat SSL/TLS na całej witrynie i nagłówek HSTS (HTTP Strict Transport Security), który każe przeglądarce łączyć się wyłącznie przez HTTPS. Drugi związek to technika wodopoju (watering hole): strona odwiedzana przez określoną grupę zawodową jest cennym celem dla każdego, kto chce dotrzeć do tej grupy.

Zagrożenia i skutki

Rządowy trojan daje operatorowi praktycznie pełny wgląd w życie ofiary: lokalizację, hasła, pliki i rozmowy ^[1]. Pegasus miał też opcję samozniszczenia po wykryciu, co utrudnia późniejszą analizę ^[1]. Apple podkreśla, że zagrożenie dotyczy bardzo małej liczby klientów ^[6], ale badacze i dziennikarze udokumentowali użycie tego narzędzia przeciw dziennikarzom, aktywistom, dysydentom, naukowcom i urzędnikom ^[6]. Za takimi operacjami zwykle stoi grupa sponsorowana przez państwo (APT), co zbliża je do działań typu APT.

Jak się bronić

• Aktualizacje. Luki wykorzystywane przez rządowe trojany są łatane w aktualizacjach systemu; Niebezpiecznik zaleca szybkie ich wgrywanie ^[3]. Regularna aktualizacja oprogramowania zamyka znane łańcuchy exploitów.
• Szyfrowany ruch. Przeciw wstrzyknięciu w sieć Niebezpiecznik radzi stałe używanie VPN ^[3].
• Tryb blokady. Apple zapowiedziało w lipcu 2022 roku Lockdown Mode, skrajną, opcjonalną ochronę dla nielicznych osób narażonych na ukierunkowane ataki ^[7]. Tryb blokuje większość typów załączników w Wiadomościach poza obrazami, wyłącza niektóre technologie przeglądarki, blokuje przychodzące zaproszenia od nieznanych osób oraz połączenia przewodowe przy zablokowanym telefonie ^[7]. W tym trybie nie da się też zainstalować profilu konfiguracyjnego ani zapisać urządzenia do MDM (zarządzanie urządzeniami mobilnymi) ^[7], co zamyka kolejne drogi przejęcia kontroli nad telefonem.
• Analiza śledcza. Amnesty International udostępniło w lipcu 2021 roku narzędzie Mobile Verification Toolkit do analizy telefonów z Androidem i iOS pod kątem śladów kompromitacji ^[8]. Takie ślady to wskaźniki kompromitacji (IoC), a ich szukanie należy do informatyki śledczej.

Telefon po rootowaniu lub jailbreaku traci część zabezpieczeń systemowych i nie powinien służyć osobom z grupy ryzyka.

Historia i przykłady

• FORCEDENTRY. 13 września 2021 roku Citizen Lab opisał exploit zero-click przeciw iMessage, używany przez NSO Group do instalacji Pegasusa, prawdopodobnie od co najmniej lutego 2021 roku ^[4]. Apple załatało lukę CVE-2021-30860 tego samego dnia, między innymi w iOS 14.8 ^[4].
• Pozew Apple. 23 listopada 2021 roku Apple pozwało NSO Group, domagając się trwałego zakazu korzystania z jego oprogramowania, usług i urządzeń ^[6], i zapowiedziało 10 mln USD dla badaczy i organizacji zajmujących się inwigilacją ^[6].
• Polska. W grudniu 2021 roku Niebezpiecznik opisał, że poseł Giertych, senator Brejza i prokurator Wrzosek po otrzymaniu ostrzeżeń udostępnili swoje telefony do analizy ^[2].
• BLASTPASS. 7 września 2023 roku Citizen Lab opisał łańcuch zero-click z obrazami w załącznikach PassKit, zdolny zainfekować iPhone'a z aktualnym wówczas iOS 16.6; luki otrzymały numery CVE-2023-41064 i CVE-2023-41061 ^[5]. Citizen Lab i Apple potwierdzili, że Lockdown Mode blokował ten atak ^[5].