Imagine isto: você faz parte de um comitê governamental que investiga uma das ferramentas de vigilância mais invasivas já construídas. Então você descobre que a mesma ferramenta estava rodando no seu telefone o tempo todo. Foi exatamente isso que aconteceuStelios Kouloglou, um antigo membro do Parlamento Europeu que serviu no Comité PEGA, o órgão encarregado de investigar os abusos de spyware Pegasus em toda a UE. De acordo com umRelatório forense do Citizen Lab, seu iPhone foi infectado em outubro de 2022 e novamente em março de 2023, durante períodos importantes do trabalho do comitê.

Esta não é uma história sobre um telefone comprometido. É uma história sobre comospyware comercialtornou-se uma séria ameaça às instituições democráticas. E, de forma mais prática, levanta uma questão que todo desenvolvedor, jornalista e pessoa preocupada com a privacidade deveria se perguntar: como é realmente esse tipo de ataque e quais defesas existem?

O que torna Pegasus tão perigoso

A maioria das pessoas imagina que o hackeamento de telefone exige que a vítima clique em um link malicioso.Pégaso, construído pela empresa israelense NSO Group, nem sempre precisa disso. Ele usa o que os pesquisadores chamamexplorações de clique zero, vetores de ataque que não exigem interação do alvo. Nenhum link para clicar. Nenhum arquivo para abrir. O spyware se instala silenciosamente.

Uma vez instalado, o Pegasus pode acessar mensagens, e-mails, microfone, câmera e localização GPS. Ele pode ler aplicativos de mensagens criptografadas como Signal ou WhatsApp porque opera no nível do sistema operacional, abaixo de onde esses aplicativos criptografam os dados. No momento em que a criptografia entra em ação, o Pegasus já viu o conteúdo em texto simples.

O caso Kouloglou também revelou algo perturbador sobre a lógica da segmentação. Citizen Lab notou uma sobreposição entre seu cronograma de infecção e umcampanha Pegasus separadavisando jornalistas exilados de língua russa e bielorrussa na Europa. Isto sugere que um único cliente da Pegasus operava em vários países europeus, e não um ator pequeno ou pouco sofisticado.

Compreender o modelo de ameaça é importante aqui. Pegasus não é um malware barato vendido em fóruns da dark web. É vendido exclusivamente a governos, de acordo com o marketing do próprio Grupo NSO. Isso muda o cálculo sobre quem pode ser o alvo e por quê. Políticos, jornalistas, advogados e ativistas enfrentam um perfil de ameaça que os consumidores comuns raramente encontram. Mas os princípios defensivos aplicam-se amplamente.

Como essas infecções realmente funcionam: uma visão técnica

As explorações de clique zero geralmente têm como alvo software que processa dados não confiáveis automaticamente. Pense em como o seu telefone lida com uma iMessage recebida, uma notificação de correio de voz ou um convite de calendário. Tudo isso aciona a análise de segundo plano antes mesmo de você interagir com eles. Uma vulnerabilidade nesse código de análise é o ponto de entrada.

Aqui está uma visão simplificada da cadeia de infecção:

Entrega:Um pacote, mensagem ou notificação push especialmente criado é enviado ao dispositivo de destino. Nenhuma interação do usuário é necessária.
Exploração:Uma vulnerabilidade nos processos em segundo plano do iOS ou Android é acionada. A memória é corrompida de forma controlada.
Instalação de carga útil:Um pequeno carregador executa e baixa o implante Pegasus completo de um servidor remoto.
Persistência:O spyware se incorpora de maneira que sobrevive às reinicializações, embora as atualizações do iOS às vezes possam quebrá-lo.
Exfiltração:Os dados capturados são enviados de volta aos servidores de comando e controle em rajadas criptografadas, muitas vezes imitando o tráfego normal do aplicativo.

A detecção forense, como a que o Citizen Lab realizou no iPhone de Kouloglou, depende do exame de logs do sistema, artefatos de processo e padrões de tráfego de rede. Ferramentas como oKit de ferramentas de verificação móvel (MVT)foram construídos especificamente para esse fim. O MVT pode analisar backups de iPhone ou dados de dispositivos Android em busca de indicadores de comprometimento (IOCs) Pegasus conhecidos.

#Instale o MVT via pip
pip instalar mvt

# Analise um backup do iPhone para IOCs Pegasus
mvt-ios check-backup --iocs caminho/para/iocs.stix2 caminho/para/iphone/backup

# Verifique um dispositivo iOS conectado (requer um backup completo primeiro)
mvt-ios check-fs --iocs caminho/para/iocs.stix2 caminho/para/extraído/fs

MVT é gratuito e de código aberto. É a mesma classe de ferramenta que o Citizen Lab e a Amnesty Tech usam para trabalhos forenses. Não impedirá uma infecção, mas é o ponto de partida para detectá-la. As equipes de segurança que trabalham com clientes de alto risco devem incluir isso em seu kit de ferramentas padrão.

O modo de bloqueio não é um truque

Apple apresentouModo de bloqueiono iOS 16 como uma resposta direta a spyware sofisticado como o Pegasus. É uma opção de proteção extrema que desativa uma ampla gama de recursos que explorações de clique zero comumente abusam. A maioria das pessoas não precisa disso. Para indivíduos de alto risco, vale a pena entender.

Diagram showing how Pegasus spyware infects an iPhone through a zero-click exploit

O que o modo Lockdown realmente faz:

Como funciona o spyware Pegasus

Etapa 1: infecção

Pegasus usa explorações de clique zero para infectar dispositivos.

Etapa 2: Acesso

Uma vez instalado, ele acessa mensagens, câmera e localização.

Etapa 3: Coleta de Dados

Lê aplicativos criptografados como o Signal antes da criptografia.

Etapa 4: Vigilância

Opera silenciosamente, coletando dados sem o conhecimento do usuário.

Bloqueia a maioria dos tipos de anexos de mensagens no iMessage
Desativa chamadas FaceTime de contatos desconhecidos
Bloqueia conexões com fio a acessórios quando o telefone está bloqueado
Desativa álbuns de fotos compartilhados e alguns recursos de navegação na web
Impede que perfis de configuração sejam instalados

A compensação é real. Alguns aplicativos quebram. Alguns fluxos de trabalho tornam-se estranhos. Mas para jornalistas, advogados ou qualquer pessoa que possa ser um alvo de vigilância de alto valor, a redução na superfície de ataque é significativa. A Apple também se comprometeu a pagar pesquisadores de segurança que encontrem desvios para o Modo Lockdown, o que cria um incentivo financeiro para mantê-lo reforçado.

O modo Lockdown não é uma solução mágica. Atacantes determinados em nível estadual têm recursos para encontrar novos dias zero. Mas aumenta substancialmente o custo de um ataque, o que é importante quando se trata de spyware que supostamente custa milhões de dólares por implantação. Custo mais alto significa que menos alvos serão atingidos.

O que os desenvolvedores podem aprender com os ataques em nível estadual

O problema é o seguinte: a maioria dos desenvolvedores não são eurodeputados. Mas as lições de como o Pegasus opera são mapeadas diretamente em princípios que são importantes para qualquer pessoa que construa ou proteja software. O caso Kouloglou é essencialmente uma aula magistral sobre o que acontece quando a modelagem de ameaças é ignorada.

OEstrutura de segurança cibernética do NISTenfatiza identificar, proteger, detectar, responder e recuperar como os cinco pilares da segurança. Os ataques Pegasus expõem lacunas em todos os cinco. As organizações que processam comunicações sensíveis, sejam comités da UE, escritórios de advogados ou plataformas médicas, muitas vezes subestimam, em particular, as etapas de deteção e resposta.

Na prática, o que os desenvolvedores e as organizações deveriam tirar?

Reduza sua superfície de ataque:Cada processo em segundo plano que analisa dados não confiáveis é um potencial ponto de entrada sem clique. Minimize o que seu aplicativo processa sem a iniciação do usuário.
Suponha violação:Projete sistemas para que um endpoint comprometido não exponha tudo. A criptografia ponta a ponta ajuda, mas o gerenciamento de chaves também é importante.
Use chaves de segurança de hardware:Mesmo que um dispositivo seja comprometido, os tokens de autenticação de hardware adicionam uma camada que os ataques puros de software têm dificuldade em contornar.
Registrar e monitorar:O tráfego de rede anômalo costuma ser o primeiro sinal detectável de atividade de spyware. A infraestrutura de registro adequada não é opcional para implantações confidenciais.

Para equipes que trabalham em aplicações confidenciais, também vale a pena ler oDocumentação de segurança da AWSem padrões de isolamento. As escolhas de arquitetura de nuvem têm um impacto real sobre o que um invasor pode alcançar se um único endpoint for comprometido. Segmentação de rede, funções IAM com privilégios mínimos e gerenciamento de segredos criptografados reduzem o raio de explosão.

Se você quiser se aprofundar no lado estatístico da análise de vulnerabilidades, ferramentas como o nossocalculadora percentilpode ajudar as equipes de segurança a avaliar a cadência de patches ou os tempos de resposta em relação aos dados históricos internos.

A questão da VPN que todos erram

Depois de histórias como essa, as pessoas perguntam imediatamente: uma VPN teria ajudado? Honestamente, não muito. UMVPNcriptografa o tráfego entre o seu dispositivo e um servidor VPN. O Pegasus opera no próprio dispositivo, abaixo da camada de rede. No momento em que seus dados chegam ao túnel VPN, o spyware já os capturou localmente.

Dito isto, as VPNs fornecem proteção significativa em outros contextos. Eles evitam a vigilância em nível de rede, protegem contra ataques man-in-the-middle em redes Wi-Fi públicas e ocultam o tráfego do seu provedor de Internet. Para um jornalista que viaja para um país de alto risco, uma VPN faz parte de uma postura de defesa mais ampla, e não de uma solução independente. Confira nossoguia VPN abrangentese você quiser entender onde as VPNs realmente ajudam e onde não.

A lição mais ampla é que as ferramentas de segurança precisam corresponder à ameaça real. Usar uma VPN contra o Pegasus é como usar uma capa de chuva em um submarino. A ameaça vem de uma direção completamente diferente.

Ferramentas de detecção que você pode realmente usar hoje

Se você trabalha com clientes de alto risco ou está pessoalmente em uma categoria que pode atrair vigilância sofisticada, aqui estão algumas ferramentas concretas que vale a pena conhecer. Estas não são teóricas. Citizen Lab e Amnesty Tech os utilizaram em investigações reais.

Screenshot of Mobile Verification Toolkit running on a terminal to scan an iPhone backup for spyware

Kit de ferramentas de verificação móvel (MVT)

MVTda Amnistia Tech é o padrão ouro para análise forense em iOS e Android. Ele verifica artefatos de dispositivos em relação a Pegasus conhecidos e IOCs de spyware comercial. Requer algum conforto na linha de comando, mas a documentação é sólida. Você pode encontrá-lo emgithub.com/mvt-project/mvt.

Proteção contra ataques de spyware

✓

Use o modo de bloqueio
Ative o modo iOS Lockdown para maior segurança.

✓

Empregar ferramentas de detecção
Use ferramentas comerciais de detecção de spyware para segurança.

✓

Atualizações regulares
Mantenha seu dispositivo atualizado para mitigar vulnerabilidades.

✓

Limitar permissões
Restrinja as permissões do aplicativo para minimizar o acesso aos dados.

iVerificar

iVerificaré um aplicativo comercial de segurança para iOS que executa verificações automatizadas de detecção de ameaças. Ele é construído em lógica forense semelhante ao MVT, mas empacotado para usuários não técnicos. Ele detectou infecções por Pegasus em testes independentes e é usado por algumas organizações de alto risco como ferramenta de monitoramento de rotina.

Wireshark para análise de rede

Wiresharkpode capturar e analisar o tráfego de rede de um dispositivo. O spyware geralmente se comunica com servidores de comando e controle em padrões que parecem incomuns em comparação com o tráfego normal de aplicativos. Os pesquisadores de segurança o utilizam para detectar conexões de saída anômalas. Requer experiência para interpretar, mas é gratuito e poderoso.

GreyKey e Cellebrite: conheça o outro lado

Compreender o que as autoridades policiais e os invasores sofisticados usam também é valioso. Ferramentas comoCellebriteeGreyKeysão usados para extrair dados de telefones bloqueados. Saber que eles existem informa as decisões sobre configurações de criptografia de disco completo e temporizadores de bloqueio automático. Um telefone que bloqueia rapidamente e usa uma senha forte é significativamente mais difícil de extrair dados, mesmo com essas ferramentas.

O panorama geral: quem está em risco

O caso Kouloglou é incomum, mas não único. O Citizen Lab documentou infecções por Pegasus que visavam jornalistas no México, activistas na Arábia Saudita, advogados em Espanha e agora um parlamentar da UE que investiga o próprio spyware. O padrão sugere que quem controla estas mobilizações não tem vergonha de visar pessoas em países democráticos.

O que isso significa na prática? Se você trabalha com jornalismo investigativo, defesa política, legislação de direitos humanos ou supervisão governamental, seu modelo de ameaça é diferente de um desenvolvedor ou consumidor típico. Você deve tratar seu telefone como um dispositivo potencialmente comprometido se tiver entrado em contato com informações politicamente sensíveis.

Para todos os outros, a lição é mais sobre consciência sistêmica. A infra-estrutura que permite ao Pegasus, aos corretores de dia zero, às empresas privadas de inteligência e aos mercados governamentais de spyware, opera em grande parte em zonas legais cinzentas. As respostas regulamentares, como o trabalho da UE através do Comité PEGA, são uma peça do puzzle. As defesas técnicas são outra. Nenhum dos dois por si só é suficiente.

As equipes que criam aplicativos que lidam com dados confidenciais podem se beneficiar da exploração de práticas de conteinerização emDocumentos do Dockerou revisar padrões de segurança de orquestração noDocumentação do Kubernetes. O isolamento de cargas de trabalho limita a quantidade de danos que um componente comprometido pode causar, que é o mesmo princípio que torna o Modo Lockdown eficaz no iOS.

A comunidade de segurança também possui muitos bons recursos educacionais.Aprenda Kagglecobre os fundamentos da análise de dados que sustentam o trabalho forense. E se você está pensando em segurança de conteúdo para uma equipe ou organização,Biblioteca de recursos do Bufferabrange práticas de comunicação seguras para equipes distribuídas.

Comece a levar a segurança móvel a sério

O caso Kouloglou é um alerta, não apenas para os políticos, mas para qualquer pessoa que lide com informações que alguém poderoso possa querer. O spyware comercial é real, está a ser utilizado contra pessoas em países democráticos e é suficientemente sofisticado para escapar à maioria das defesas ao nível do consumidor.

A boa notícia é que existem defesas. Modo Lockdown, MVT, chaves de segurança de hardware e arquitetura de rede bem pensada aumentam o custo dos ataques. Nenhuma defesa é perfeita, mas tornar-se um alvo caro reduz significativamente o risco.

Se você trabalha em um campo de alto risco, comece hoje mesmo com uma varredura forense usando o MVT. Leia noEstrutura de segurança cibernética do NISTpara entender onde estão as lacunas da sua organização. E confira nossoguia VPN abrangentepara entender onde as ferramentas de nível de rede realmente se encaixam em sua pilha de defesa. A segurança não é uma ferramenta. É uma postura em camadas construída com olhos claros sobre contra o que você está realmente se defendendo.