Immagina questo: sei seduto in un comitato governativo che indaga su uno degli strumenti di sorveglianza più invasivi mai costruiti. Poi scopri che lo stesso strumento era in esecuzione sul tuo telefono per tutto il tempo. Questo è esattamente quello che è successoStelios Kouloglou, ex membro del Parlamento europeo che ha fatto parte del comitato PEGA, l'organismo incaricato di indagare sugli abusi di spyware Pegasus in tutta l'UE. Secondo aRapporto forense del Citizen Lab, il suo iPhone è stato infettato nell'ottobre 2022 e di nuovo nel marzo 2023, proprio durante i periodi chiave dei lavori del comitato.

Questa non è la storia di un telefono compromesso. È una storia su comespyware commercialeè diventata una seria minaccia per le istituzioni democratiche. E più in pratica, solleva una domanda che ogni sviluppatore, giornalista e persona attenta alla privacy dovrebbe porsi: che aspetto ha effettivamente questo tipo di attacco e quali difese esistono?

Cosa rende Pegasus così pericoloso

La maggior parte delle persone immagina che l'hacking telefonico richieda che la vittima faccia clic su un collegamento errato.Pegaso, costruito dalla società israeliana NSO Group, non sempre ne ha bisogno. Utilizza ciò che i ricercatori chiamanoexploit a zero clic, attaccano i vettori che richiedono zero interazioni da parte del bersaglio. Nessun collegamento su cui fare clic. Nessun file da aprire. Lo spyware si installa silenziosamente.

Una volta installato, Pegasus può accedere a messaggi, e-mail, microfono, fotocamera e posizione GPS. Può leggere app di messaggistica crittografate come Signal o WhatsApp perché funziona a livello di sistema operativo, al di sotto del punto in cui tali app crittografano i dati. Quando entra in funzione la crittografia, Pegasus ha già visto il contenuto in testo normale.

Il caso Kouloglou ha anche rivelato qualcosa di inquietante riguardo alla logica del targeting. Citizen Lab ha notato una sovrapposizione tra la cronologia dell'infezione e acampagna Pegasus separataprendendo di mira i giornalisti esiliati di lingua russa e bielorussa in Europa. Ciò suggerisce che un singolo cliente Pegasus operasse in più paesi europei, non un attore piccolo o poco sofisticato.

Comprendere il modello di minaccia è importante qui. Pegasus non è un malware economico venduto sui forum del dark web. Viene venduto esclusivamente ai governi, secondo il marketing di NSO Group. Ciò cambia il calcolo su chi potrebbe essere preso di mira e perché. Politici, giornalisti, avvocati e attivisti si trovano ad affrontare un profilo di minaccia che i consumatori comuni raramente incontrano. Ma i principi difensivi si applicano ampiamente.

Come funzionano effettivamente queste infezioni: uno sguardo tecnico

Gli exploit zero-click in genere prendono di mira software che elaborano automaticamente dati non attendibili. Pensa a come il tuo telefono gestisce un iMessage in arrivo, una notifica di posta vocale o un invito del calendario. Tutti questi attivano l'analisi dello sfondo prima ancora di interagire con essi. Una vulnerabilità in quel codice di analisi è il punto di ingresso.

Ecco una visione semplificata della catena di infezione:

Consegna:Un pacchetto, messaggio o notifica push appositamente predisposto viene inviato al dispositivo di destinazione. Non è necessaria alcuna interazione da parte dell'utente.
Sfruttamento:Viene attivata una vulnerabilità nei processi in background di iOS o Android. La memoria viene danneggiata in modo controllato.
Installazione del carico utile:Un piccolo caricatore esegue e scarica l'intero impianto Pegasus da un server remoto.
Persistenza:Lo spyware si incorpora in modi che sopravvivono al riavvio, anche se gli aggiornamenti iOS a volte possono danneggiarlo.
Esfiltrazione:I dati acquisiti vengono rinviati ai server di comando e controllo in burst crittografati, spesso imitando il normale traffico delle app.

Il rilevamento forense, come quello eseguito da Citizen Lab sull'iPhone di Kouloglou, si basa sull'esame dei registri di sistema, degli artefatti dei processi e dei modelli di traffico di rete. Strumenti come ilKit di strumenti di verifica mobile (MVT)sono stati costruiti appositamente per questo scopo. MVT può analizzare i backup di iPhone o i dati dei dispositivi Android per individuare gli indicatori di compromissione (IOC) Pegasus noti.

# Installa MVT tramite pip
pip installa mvt

# Analizza un backup di iPhone per gli IOC Pegasus
mvt-ios check-backup --iocs percorso/a/iocs.stix2 percorso/a/iphone/backup

# Controlla un dispositivo iOS connesso (richiede prima un backup completo)
mvt-ios check-fs --iocs percorso/del/iocs.stix2 percorso/del/estratto/fs

MVT è gratuito e open source. È la stessa classe di strumenti che Citizen Lab e Amnesty Tech utilizzano per il lavoro forense. Non preverrà un’infezione, ma è il punto di partenza per rilevarne una. I team di sicurezza che lavorano con clienti ad alto rischio dovrebbero inserire questa parte nel loro toolkit standard.

La modalità di blocco non è un trucco

Apple ha introdottoModalità di bloccoin iOS 16 come risposta diretta a spyware sofisticati come Pegasus. Si tratta di un'opzione di rafforzamento estremo che disabilita un'ampia gamma di funzionalità di cui comunemente gli exploit zero-click abusano. La maggior parte delle persone non ne ha bisogno. Per gli individui ad alto rischio, vale la pena comprenderlo.

Diagram showing how Pegasus spyware infects an iPhone through a zero-click exploit

Cosa fa effettivamente la modalità di blocco:

Come funziona lo spyware Pegasus

Passaggio 1: infezione

Pegasus utilizza exploit zero-click per infettare i dispositivi.

Passaggio 2: accesso

Una volta installato, accede a messaggi, fotocamera e posizione.

Passaggio 3: raccolta dei dati

Legge le app crittografate come Signal prima della crittografia.

Fase 4: sorveglianza

Funziona silenziosamente, raccogliendo dati all'insaputa dell'utente.

Blocca la maggior parte dei tipi di allegati ai messaggi in iMessage
Disabilita le chiamate FaceTime da contatti sconosciuti
Blocca le connessioni cablate agli accessori quando il telefono è bloccato
Disabilita gli album fotografici condivisi e alcune funzionalità di navigazione web
Impedisce l'installazione dei profili di configurazione

Il compromesso è reale. Alcune app si rompono. Alcuni flussi di lavoro diventano scomodi. Ma per giornalisti, avvocati o chiunque possa rappresentare un obiettivo di sorveglianza di alto valore, la riduzione della superficie di attacco è significativa. Apple si è anche impegnata a pagare i ricercatori di sicurezza che trovano bypass alla modalità di blocco, il che crea un incentivo finanziario per mantenerla rafforzata.

La modalità di blocco non è una soluzione miracolosa. Gli aggressori determinati a livello statale dispongono delle risorse per trovare nuovi zero-day. Ma ciò aumenta sostanzialmente il costo di un attacco, il che è importante quando si parla di spyware che, secondo quanto riferito, costa milioni di dollari per distribuzione. Un costo più elevato significa che vengono colpiti meno bersagli.

Cosa possono imparare gli sviluppatori dagli attacchi a livello statale

Il punto è questo: la maggior parte degli sviluppatori non sono deputati al Parlamento europeo. Ma le lezioni apprese dal modo in cui opera Pegasus si traducono direttamente in principi importanti per chiunque crei o protegga software. Il caso Kouloglou è essenzialmente un master class su ciò che accade quando la modellazione delle minacce viene ignorata.

ILQuadro di sicurezza informatica del NISTsottolinea che identificare, proteggere, rilevare, rispondere e ripristinare sono i cinque pilastri della sicurezza. Gli attacchi Pegasus mettono in luce le lacune in tutti e cinque. Le organizzazioni che trattano comunicazioni sensibili, siano essi comitati dell’UE, studi legali o piattaforme mediche, spesso sottovalutano in particolare le fasi di rilevamento e risposta.

In pratica, cosa dovrebbero portare via gli sviluppatori e le organizzazioni?

Riduci la superficie di attacco:Ogni processo in background che analizza dati non attendibili è un potenziale punto di ingresso a zero clic. Riduci al minimo ciò che la tua app elabora senza l'avvio dell'utente.
Ipotizzare la violazione:Progettare i sistemi in modo che un endpoint compromesso non esponga tutto. La crittografia end-to-end aiuta, ma anche la gestione delle chiavi è importante.
Utilizza le chiavi di sicurezza hardware:Anche se un dispositivo viene compromesso, i token di autenticazione hardware aggiungono un livello che gli attacchi puramente software faticano a bypassare.
Registra e monitora:Il traffico di rete anomalo è spesso il primo segno rilevabile di attività spyware. Un'infrastruttura di registrazione adeguata non è facoltativa per le distribuzioni sensibili.

Per i team che lavorano su applicazioni sensibili, vale la pena leggere anche il fileDocumentazione sulla sicurezza AWSsui modelli di isolamento. Le scelte dell’architettura cloud hanno un impatto reale su ciò che un utente malintenzionato può raggiungere se un singolo endpoint viene compromesso. La segmentazione della rete, i ruoli IAM con privilegi minimi e la gestione dei segreti crittografati riducono il raggio di esplosione.

Se vuoi approfondire il lato statistico dell'analisi delle vulnerabilità, strumenti come il nostrocalcolatore percentilepuò aiutare i team di sicurezza a confrontare la cadenza delle patch o i tempi di risposta con i dati storici interni.

La domanda sulla VPN Tutti sbagliano

Dopo storie come questa, la gente si chiede subito: una VPN avrebbe aiutato? Onestamente, non molto. UNVPNcrittografa il traffico tra il tuo dispositivo e un server VPN. Pegasus opera sul dispositivo stesso, al di sotto del livello di rete. Nel momento in cui i tuoi dati raggiungono il tunnel VPN, lo spyware li ha già catturati localmente.

Detto questo, le VPN forniscono una protezione significativa in altri contesti. Impediscono la sorveglianza a livello di rete, proteggono dagli attacchi man-in-the-middle al Wi-Fi pubblico e oscurano il traffico dal tuo provider Internet. Per un giornalista che viaggia in un paese ad alto rischio, una VPN fa parte di una strategia di difesa più ampia, non di una soluzione autonoma. Dai un'occhiata al nostroguida VPN completase vuoi capire dove le VPN aiutano veramente e dove no.

La lezione più ampia è che gli strumenti di sicurezza devono corrispondere alla minaccia reale. Usare una VPN contro Pegasus è come indossare un impermeabile in un sottomarino. La minaccia proviene da una direzione completamente diversa.

Strumenti di rilevamento che puoi effettivamente utilizzare oggi

Se lavori con clienti ad alto rischio o appartieni personalmente a una categoria che potrebbe attrarre una sorveglianza sofisticata, ecco alcuni strumenti concreti che vale la pena conoscere. Questi non sono teorici. Citizen Lab e Amnesty Tech li hanno utilizzati in vere e proprie indagini.

Screenshot of Mobile Verification Toolkit running on a terminal to scan an iPhone backup for spyware

Kit di strumenti di verifica mobile (MVT)

MVTdi Amnesty Tech è il gold standard per l'analisi forense su iOS e Android. Controlla gli artefatti del dispositivo rispetto agli IOC Pegasus e spyware commerciali noti. Richiede un po' di comodità da riga di comando, ma la documentazione è solida. Puoi trovarlo sugithub.com/mvt-project/mvt.

Protezione dagli attacchi spyware

✓

Utilizza la modalità di blocco
Attiva la modalità di blocco iOS per una maggiore sicurezza.

✓

Utilizza strumenti di rilevamento
Utilizza strumenti di rilevamento spyware commerciali per sicurezza.

✓

Aggiornamenti regolari
Mantieni aggiornato il tuo dispositivo per mitigare le vulnerabilità.

✓

Limitare le autorizzazioni
Limita le autorizzazioni dell'app per ridurre al minimo l'accesso ai dati.

iVerifica

iVerificaè un'app di sicurezza iOS commerciale che esegue scansioni automatizzate di rilevamento delle minacce. È costruito su una logica forense simile a MVT ma confezionato per utenti non tecnici. Ha rilevato infezioni Pegasus durante test indipendenti e viene utilizzato da alcune organizzazioni ad alto rischio come strumento di monitoraggio di routine.

Wireshark per l'analisi di rete

Wiresharkpuò acquisire e analizzare il traffico di rete da un dispositivo. Lo spyware spesso comunica con i server di comando e controllo secondo schemi che sembrano insoliti rispetto al normale traffico delle app. I ricercatori di sicurezza lo utilizzano per individuare connessioni anomale in uscita. Richiede esperienza per interpretarlo, ma è gratuito e potente.

GreyKey e Cellebrite: conosci l'altro lato

È utile anche capire cosa utilizzano le forze dell’ordine e gli aggressori sofisticati. Strumenti comeCellebriteEGreyKeyvengono utilizzati per estrarre dati dai telefoni bloccati. Sapere che esistono informa le decisioni sulle impostazioni di crittografia dell'intero disco e sui timer di blocco automatico. Un telefono che si blocca rapidamente e utilizza un passcode complesso è significativamente più difficile da cui estrarre dati, anche con questi strumenti.

Il quadro più ampio: chi è a rischio

Il caso Kouloglou è insolito ma non unico. Citizen Lab ha documentato le infezioni di Pegasus che hanno preso di mira giornalisti in Messico, attivisti in Arabia Saudita, avvocati in Spagna e ora un parlamentare europeo che indaga sullo spyware stesso. Lo schema suggerisce che chiunque controlli questi dispiegamenti non è timido nel prendere di mira le persone nei paesi democratici.

Cosa significa questo in pratica? Se lavori nel giornalismo investigativo, nella difesa politica, nelle leggi sui diritti umani o nella supervisione del governo, il tuo modello di minaccia è diverso da quello di un tipico sviluppatore o consumatore. Dovresti trattare il tuo telefono come un dispositivo potenzialmente compromesso se sei stato in contatto con informazioni politicamente sensibili.

Per tutti gli altri, la lezione riguarda più la consapevolezza sistemica. L'infrastruttura che abilita Pegasus, i broker zero-day, le società di intelligence private e i mercati dello spyware governativo, opera in gran parte nelle zone grigie legali. Le risposte normative come il lavoro dell’UE attraverso il Comitato PEGA sono un pezzo del puzzle. Le difese tecniche sono un'altra. Nessuno dei due da solo è sufficiente.

I team che creano applicazioni che gestiscono dati sensibili possono trarre vantaggio dall'esplorazione delle pratiche di containerizzazione suDocumenti Dockero rivedere i modelli di sicurezza dell'orchestrazione inDocumentazione Kubernetes. L'isolamento dei carichi di lavoro limita la quantità di danni che un componente compromesso può arrecare, che è lo stesso principio che rende efficace la modalità di blocco su iOS.

Anche la comunità della sicurezza dispone di molte buone risorse educative.Kaggle Imparacopre i fondamenti dell'analisi dei dati che sono alla base del lavoro forense. E se stai pensando alla sicurezza dei contenuti per un team o un'organizzazione,Libreria di risorse del buffercopre le pratiche di comunicazione sicura per i team distribuiti.

Inizia a prendere sul serio la sicurezza mobile

Il caso Kouloglou è un campanello d’allarme, non solo per i politici, ma per chiunque gestisca informazioni che qualcuno di potente potrebbe desiderare. Lo spyware commerciale esiste, viene utilizzato contro i cittadini dei paesi democratici ed è sufficientemente sofisticato da eludere la maggior parte delle difese a livello dei consumatori.

La buona notizia è che le difese esistono. La modalità di blocco, MVT, le chiavi di sicurezza hardware e un'architettura di rete ponderata aumentano il costo degli attacchi. Nessuna difesa è perfetta, ma diventare un bersaglio costoso riduce significativamente il rischio.

Se lavori in un settore ad alto rischio, inizia oggi stesso con una scansione forense utilizzando MVT. Leggi suQuadro di sicurezza informatica del NISTper capire dove sono le lacune della tua organizzazione. E dai un'occhiata al nostroguida VPN completaper capire dove gli strumenti a livello di rete si inseriscono effettivamente nel tuo stack di difesa. La sicurezza non è uno strumento. È una postura a strati costruita con occhi chiari su ciò da cui ti stai effettivamente difendendo.