Pegasus. Как работает шпионский софт и можно ли от него защититься

Всем привет! Меня зовут Самат Галимов, и это подкаст «Запуск завтра». Как технический директор я пытаюсь разобраться, как устроены сложные и интересные штуки. Я зову профессионалов, с которыми можно поговорить простым человеческим языком. Этим эпизодом мы начинаем десятый юбилейный сезон нашего подкаста. Спасибо вам большое, что вы с нами. Мы будем выходить, как и раньше, по четвергам. Начинаем мы сезон с темы, которая недавно довольно громко прогремела в российском интернете. Это программа для удаленного взлома телефонов. Называется Pegasus. Это поделие израильской компании NSO, которая классифицируется как оружие. Эта программа регулярно всплывает в связи с какими-то серыми, довольно неприятными историями. Последняя была про убийство мексиканских журналистов несколько лет назад. И вот добрались до наших широт. С помощью программы Pegasus был взломан телефон издательницы и соосновательницы «Медузы» Галины Тимченко. Благодаря этому услышала широкая аудитория и сегодня я хочу разобраться, что это за программа такая Pegasus, кто её разрабатывает и как вообще в целом устроен рынок шпионского софта. Это подкаст студии Либо-Либо и делаем мы его совместным сервисом онлайн образования Яндекс Практикум. У Практикума есть курсы по разработке, по анализу данных и по английскому языку. А сегодня я вам расскажу о курсе, который очень в тему сегодняшнего эпизода. Это курс «Специалист по информационной безопасности. Веб-Пентест». На курсе вы научитесь проводить пентесты, то есть с согласия их владельцев, а также научитесь выявлять вообще почему возникают уязвимости, как их предотвратить и как писать более безопасный код. Это очень важный навык, и чем дальше будет развиваться интернет, тем важнее будут становиться профессионалы в области информационной безопасности. Курс занимает 6 месяцев. При покупке этого курса в подарок вы получите также курс по основам сетей, верстке и криптографии. Все подробности по ссылке в описании к этому эпизоду.

Меня зовут Наталья Крапива, я юрист из организации AccessNow. Я занимаюсь судопроизводством и юридической помощью в нашей организации, которая занимается защитой прав человека в цифровой сфере.

Представь, я журналист какой-нибудь. Вот я сижу, да, со своим телефоном. В случае Пегасуса, как для меня выглядит атака, когда меня пытаются взломать?

К сожалению, случай Пегаса практически никак не выглядит с той стороны журналиста или другой жертвы, потому что это абсолютно не слышно, невидимо происходит. Раньше Пегас, ранние версии его использовали, так называемый когда приходило сообщение. Последние версии не используют таких методов, то есть Zero Click— не приходит никакое сообщение. Это происходит невидимо, то есть используются невидимые лазейки в телефоне, о которых не знает даже Apple или Google. И они используются для проникновения в устройство и превращают ваш телефон в шпиона в кармане.

К чему получают доступ злоумышленники?

получают доступ к всему, к чему Вы имеете доступ, имея в руках Ваш телефон, то есть всю Вашу переписку, контакты, фотографии, видео, аудио. Могут включать микрофон и слушать видеокамеру, наблюдать, что происходит вокруг. И в случае с Галиной Тимченко, кстати, хотя опять же у нас Нет прямых доказательств этому, но я, например, подозреваю, что, скорее всего, так её телефон и был использован, потому что заражение телефона произошло 10 февраля, за день до того, как она встречалась с группой других менеджеров независимых медиа из России. И заражение телефона продолжалось как минимум несколько дней. То есть в течение этой встречи телефон был в комнате. И есть большая вероятность того, что злоумышленники, скорее всего, слушали, что происходит на этой встрече. И это является одним из самых, я бы сказала, страшных функциональностей, потому что, конечно же, под риском находится не только человек, кому принадлежит телефон, но также все окружающие, близкие, уже всё, как бы, их разговоры могут прослушиваться. И насколько мы знаем из технических объяснений, да, таких организаций, как Citizen Lab, это исследовательская группа, которая находится при Университете Торонто, которая уже много лет занимается расследованием Пегаса и других вредоносных. они были первой организацией, которая в 2016 году нашла пегас у активиста Ахмеда Мансура. И с тех пор они являются практически лидирующей организацией в этой сфере, на спайвар (spyware), такие как пегасус и другие. они говорят, что есть возможность даже поставить на устройство информацию, которой раньше не было, да, и которой вы не знаете. Поэтому это также является особым риском, наверное, да, особенно для людей, которые могут быть жертвами юридического преследования. То есть можно таким образом поставить на телефон улики преступлений, которых раньше не было.

Как подкидывают наркоту, можно также, например, детское порно подкинуть или ещё какую-нибудь хрень такую?

Да-да, в теории, опять же, у нас таких случаев не было ещё, но мы знаем, что есть такая возможность, по крайней мере, это сделать с помощью Pegasus.

Откуда эти уязвимости берутся?

Есть разные варианты в зависимости от уязвимости. В данном случае, насколько мы понимаем из исследований, опять же, тех же Citizen Lab, также Google Project Zero команды, которые также занимаются подробным исследованием, они считают, что обычно такого рода уязвимости доступны службам, допустим, Америки, Израиля и так далее, то есть очень высокого уровня. И, возможно, они либо купили их каким-то образом на чёрном маркете, возможно, какие-то уязвимости также ненужны, как бы уязвимости, которые, Моссад или другие спецслужбы они могут их отдавать или продавать компаниям, да, таким как NSO и так далее.

То есть они уже воспользовались этим и для них уже типа не так круто, а вот ниже по цепочке могут передать.

Известно, что очень часто сотрудники этих компаний— бывшие сотрудники спецслужб израильских, то есть между ними есть довольно-таки тесная связь. И мы знаем, что Израиль также использует, по крайней мере, NSO, продукты Pegasus как дипломатический инструмент, чтобы наладить отношения с некоторыми странами. Но в целом недавно была статья, говорила про то, что российская компания объявляло о том, что они предлагают миллионы долларов за такого рода уязвимости. Такие уязвимости часто покупаются, миллионы долларов. Либо даже компании, такие как Apple, дают также вознаграждение людям, которые находят эти уязвимости.

Эти уязвимости одни и те же используются всю историю Пегасуса?

Нет. Каждый раз, когда мы обнаруживаем эти уязвимости, и Apple их закрывает. Вот, кстати, пару недель назад Citizen Lab сразу, по-моему, за одну неделю 5 уязвимостей сразу нашли. Два— используя NSO группы, Cytrox. И Apple, да, и другие производители закрывают эти уязвимости, и компании, да, вредоносное ПО, они находят новые. И это постоянно такая игра в кошки-мышки, к сожалению. И очень быстро они находят новые методы доступа к устройствам.

Можешь рассказать немножечко про известных жертв Пегасуса? Или просто какие-то безумные истории, которые тебе кажутся такими важными, яркими?

Наверное, один из самых известных жертв, к сожалению, который не является доказанной прямой жертвой Пегаса, но люди в его окружении были заражены,— это, конечно, Джамаль Хашогги (Jamal Khashoggi). Это журналист и диссидент из Саудовской Аравии, который сегодня, кстати, 5 лет, как его убили. И мы знаем, что принц Саудовской Аравии стоит за этим. Мы знаем, что его соратник и друг был заражён Пегасом, а также его близкие люди— жена, невеста и сын. И, скорее всего, власти использовали каким-то образом информацию, которую они получили из телефонов его соратников из семьи, для убийства. Естественно, телефона Жамала у нас нет, скорее всего, был уничтожен. Но это, наверное, один из самых печально известных примеров, которые действительно поставили Пегас на первые полосы газет. И мы стали понимать, что это не просто прослушка, доступ к информации, нарушение свободы слова и приватности, но также это может привести к очень печальным, страшным физическим последствиям для диссидентов, журналистов и так далее. Помимо этого много разных примеров. Наверное, ещё один довольно известный пример— это Карин Ганимба, она дочка известного активиста из Руанда. На основе его личности был снят фильм, отель «Руанда», который спас очень много людей во время геноцида в Руанде. Правительство Руанда украло его и держало в заключении. И дочка Коринка Нимба пыталась, она адвокатировала в Брюсселе, в Вашингтоне с правительствами разных европейских и западных стран, просила, чтобы его отпустили. И в это время её заразили Пегасом. Мы подозреваем, что это правительство Руанды. Недавно ей удалось добиться того, чтобы отца её выпустили. Но, конечно же, опять то, что её заразили, является примером того, что заражение пейгасом помогает правительствам осуществлять репрессии, убийства, кражи и разного рода физические последствия для активистов, журналистов и для людей, которые добиваются свободы для своих близких, соратников и так далее. То есть это ещё один печальный пример, к сожалению. Но я рада, что хотя бы удалось вызволить отца, и всё-таки всё закончилось довольно успешно.

Наташа упомянула Citizen Lab— это организация, которая занимается исследованием шпионского софта. Мы поговорили с ведущим экспертом оттуда, чтобы глубже разобраться в том, как именно происходит заражение и как злоумышленники эксплуатируют ошибки в коде, чтобы захватить наши телефоны. Сейчас вы услышите Билла Марзака (Bill Marczak). Для вас мы перевели и озвучили разговор с Биллом, но если вы хотите послушать оригинальную версию на английском языке, то она выйдет в отдельном бонусном эпизоде в следующую пятницу. Ищите ее в подписке либо-либо плюс или запуск плюс-плюс в Apple подкастах или в нашем закрытом телеграм-чате. Все ссылки в описании.

Меня зовут Билл Марзак. Я старший исследователь в организации Citizen Lab при Университете Торонто.

Билл, я хочу понять, как взломы со шпионским ПО работают под капотом. Вот, я думаю, что все наши слушатели примерно представляют, как устроены обычные взломы, вроде угона аккаунта в Инстаграме или Фейсбуке. Получаешь какую-то ссылку, которая притворяется настоящим сайтом, переходишь по ней, вводишь туда свой логин-пароль, и твоя учетная запись оказывается в руках злоумышленника. В случае Pegasus и другого подобного софта у атакующих появляется доступ не просто к Facebook или Instagram, а вообще ко всему телефону. Как это устроено? Да,

сейчас расскажу, как это обычно происходит. Pegasus и другие похожие программы эксплуатируют уязвимости, которые находятся в устройстве. Об этих уязвимостях не знают производители твоего телефона. Их еще не обнаружили. Поэтому патчей против них нет. Такие уязвимости еще называют уязвимостями нулевого дня, или Zero Day. Против них еще не выпустили новых обновлений безопасности. Самый популярный метод в подобных атаках— найти какой-нибудь баг в веб-браузере. Выглядит это так. Злоумышленники убеждают пользователя нажать на ссылку, которая ведет его на вредоносный сайт. Когда пользователь заходит на сайт, в браузере телефона запускается код, часто написанный на джаваскрипте. Этот код специально написан для эксплуатации бага в самом движке JavaScript. Злоумышленники тратят кучу времени и денег, чтобы обнаружить такие. Они используют для этого самые разные методы. фаззинг (fuzzing), когда ты неделями подаешь программе на вход самые разные данные в огромных масштабах, чтобы посмотреть, в какой момент она не справится с их обработкой и выдаст ошибку. Так можно выявить слабые места в скрипте, а после этого уже руками в них поковыряться. Так что да, компании вкладываются в какую-нибудь уязвимость, специально под нее пишут код для эксплуатации, этот код доставляется на телефон жертвы, обычно через клик по ссылке. А потом происходит интересное. Одной уязвимости недостаточно для полного контроля над телефоном. Поэтому злоумышленники ищут другие. Как только у них появляется контроль над веб-браузером, они начинают искать выход из так называемой песочницы. Песочница— это такая изолированная среда, в которой исполняются программы. Она как раз должна не позволять атакующим выпрыгнуть за пределы веб-браузера и пойти дальше завоевывать контроль над телефоном. На практике? Песочница— это как бы такая стена. И, ну, знаешь, для любой стены, пусть хоть в три метра высотой, можно найти лестницу чуть повыше. И то же самое с песочницей. Если она есть, значит, есть и выход из неё. И вот атакующие находят такие выходы. Получается, они совмещают уязвимость в браузере и в песочнице. Иногда им приходится прорываться сквозь ещё какие-то уровни безопасности. Но, в конце концов, вот эта вот комбинация всех уязвимостей и даёт им полный доступ к телефону. И делать они могут что угодно. По сути, у них такой же уровень контроля над устройством, как у вас самих. Блин,

звучит это всё довольно стрёмно. Давай углубимся в эту тему и разберёмся, вот всегда ли злоумышленникам приходится искать эти уязвимости самим? Ты сказал, что нужно как минимум две уязвимости. Первая, чтобы внедриться в телефон, а вторая для того, чтобы выйти из песочницы приложения, которую мы изначально сломали. Я подозреваю, что для поиска таких уязвимостей потребуется целый департамент хакеров-исследователей.

В некоторых компаниях так и происходит, да. В NSO Group, например, сотни сотрудников, что-то типа 500 или 600. Хотя недавно они уволили 100 человек в связи с экономическими проблемами. Да уж, даже шпионские компании не застрахованы от влияния мировых трендов в экономике. Но вообще да, у некоторых компаний действительно есть собственные отделы, занимающиеся поиском таких багов. Но если размер компании и их ресурсы не позволяют делать им это самим, то они вполне могут приобретать эти уязвимости у других компаний. Есть даже так называемые реселлеры или брокеры эксплойтов. Но при свободной продаже может возникнуть ситуация, когда несколько злоумышленников используют одну и ту же уязвимость. Поэтому покупать с чёрного рынка в некотором смысле хуже, чем самостоятельно обнаруживать уязвимости и специально разрабатывать под них код. Ведь если другие атакующие облажаются, и каким-то образом эта уязвимость будет обнаружена и исправлена, то и вы останетесь в пролёте.

О, вот про это я как раз хотел узнать. Получается, атакующие используют одну и ту же уязвимость снова и снова, пока она не будет исправлена?

Верно.

Ага. То есть нам не нужно новую уязвимость для каждой новой цели или жертвы.

Всё так,

да.

Дело в том, что жертвы используют одни и те же или, по крайней мере, очень похожие устройства. Вот, например, iPhone. Практически все айфоны принципиально одинаковые. Они работают на одном и том же программном обеспечении, iOS. А вот Android всё-таки немного различается от бренда к бренду. ПО у LG будет не таким, как у Samsung или Huawei, а OnePlus будет отличаться от Xiaomi. Ну, то есть это значит, что злоумышленникам придется попотеть, чтобы придумать способ взлома, работающий на всех многочисленных версиях Android. С айфонами в этом смысле проще. Они все работают на одном и том же софте. Если вы найдете уязвимость в iOS, то потенциальное применение этой уязвимости будет намного шире. В мире сколько? Наверное, миллиард iOS-устройств, в то время как у Samsung или какого-нибудь другого бренда их всего несколько сотен миллионов, а у некоторых вообще только десятки миллионов. Так что тут просто требуется гораздо больше работы, чтобы шпионский софт работал на всех версиях.

Ты сказал, что уязвимости почти всегда находятся в одном и том же месте. Что это за программа, в которой чаще всего находятся уязвимости?

Ну, если вы хотите, чтобы жертва кликнула по какой-то зловредной ссылке, то, как мы говорили, это делается через веб-браузер. Но есть и другой способ доставки шпионского ПО, так называемые атаки нулевого клика или зироуклик, когда для заражения не нужно никуда нажимать. Атаки нулевого клика используют уязвимости в коде, который постоянно исполняется в фоновом режиме на телефоне. Это, например, мессенджеры, iMessage или WhatsApp. Вот представим, телефон лежит перед вами на столе, вы его не трогаете. Вам приходит сообщение в WhatsApp или iMessage. Вы увидите такое всплывающее уведомление, если бы их, конечно, не отключили. И если кто-то, например, прислал вам изображение, или видео, или стикер, или что-то еще, в уведомлении будет превью.

Вообще, звучит довольно безобидно просто получить уведомление.

Да, звучит и правда безобидно. Но подумайте о том, как создается этот предварительный просмотр изображения. То есть каким-то образом в фоне работает некий программный код, который принимает байты информации, полученные, например, из мессенджеров, и преобразует их в изображение. И это на самом деле очень сложный процесс. может закрасться множество ошибок, которые могут обнаружить злоумышленники. И если им удастся найти одну из них, то они смогут перехватить телефон в момент, когда уведомление приходит. То есть злоумышленник посылает вам какое-то изображение, предназначенное для взлома той самой функции превью, и так у них появляется первичный доступ. После этого, как мы уже говорили, они потенциально могут скомбинировать это с другими уязвимостями и использовать для окончательного взлома телефона. Apple и другие компании предпринимают очень активные усилия по выявлению и устранению этих уязвимостей. Но проблема в том, что код, генерирующий изображение, правда очень сложный, и трудно провести полный аудит этого кода, чтобы убедиться, что там всё в порядке.

Так, получается, взломать приложение iMessage не так уж и сложно. Но что происходит дальше? Расскажи, пожалуйста, подробно, как в реальности взлом одной программы iMessage ведёт к полному контролю над телефоном жертвы.

Давай я приведу конкретный пример. Иногда нам Citizen Lab удается обнаружить файлы, которые кто-то уже использовал для взлома телефонов. В 2021 году мы зафиксировали один такой. На телефон пришел файл с расширением .gif, то есть анимированной гифкой, но на самом деле это был PDF-файл. В айфонах одна унифицированная библиотека, которая рендерит все форматы изображений. ImageIO. И вот злоумышленники как-то смогли присвоить расширение .gif, но передать его как PDF. Затем в одном из компонентов для передачи PDF-файлов была обнаружена уязвимость, которую они очень ловко использовали, чтобы запустить свой вредоносный код в процессе транскодинга в iMessage. Транскодинг— это когда один формат преобразуется в другой, и вот с его помощью как раз генерируется превью на телефоне. Как и в веб-браузере, тут тоже есть своя песочница, которая пытается предотвратить продвижение атакующих за пределы транскодера. Но они как-то нашли способ обойти песочницу. Это все было как-то завязано на передачу сообщений между различными процессами на телефоне. Вот эту часть цепочки мы зафиксировали точно. А после выхода из песочницы, как мы подозреваем, атакующие смогли загрузить какой-то дополнительный компонент и дальше найти ошибку в парсере, что в свою очередь уже дало им полный доступ к телефону. В общем, там длинная и сложная цепочка эксплуатации уязвимостей.

Довольно безумный процесс. Но хорошо, у злоумышленника появился полный доступ к моему телефону и информации на нем. И что, после этого они могут одним кликом скачать все данные с моего телефона? Или им нужно еще что-то сделать, чтобы получить эту информацию?

Данные из различных приложений хранятся в базах, поэтому шпионскую программу нужно научить вытаскивать файлы из баз и отправлять их через сервер тому, кто запустил ее. И вот тогда заказчик уже может открыть и посмотреть, что ему нужно. Поддержка сливов из почти каждого приложения требует дополнительных усилий разработчиков. Например, если они хотят, чтобы у заказчика в понятном виде отображались сообщения из WhatsApp, для этого нужно написать отдельный код. Код должен парсить базу данных WhatsApp и уметь работать с разными сущностями, которые там встречаются, будь то стикеры, аудиосообщения, фотографии, текстовые сообщения или остальное. Так что да, это требует определенных инвестиций и времени со стороны шпионской программы.

Получается, нужно писать отдельный код для каждого вида цели? То есть специально для камеры, микрофона, WhatsApp и остального?

Да, это всё тоже специальный код. Он есть в программе и просто ждёт команды от исполнителя взлома. Например, они могут захотеть включить микрофон и вести запись в какое-то время суток. И тогда они отправляют такой запрос программе, и в телефоне активируется та часть шпионской программы, которая отвечает за аудио. Включает микрофон, копирует аудио файл во временный файл в памяти телефона, а потом передаёт файл заказчику взлома или в некоторых случаях даже может транслировать аудио в прямом эфире. Пегасус

кажется довольно сложным софтом. Сколько у них разработчиков?

Мы знаем, что в НСО работает несколько сотен человек. Неясно, сколько из них занимаются разработкой шпионских программ, сколько— поиском эксплойтов, а сколько— обеспечением качества, поддержкой и всем прочим. Но интересно, что это же не один раз взял и написал код. Его надо поддерживать. И он для каждой функциональности разный. И все приложения, под которые его пишут, обновляются с какой-то периодичностью. Поэтому на каждую новую версию разработчики должны посмотреть и проанализировать ее, подумать, а как это изменение повлияет на наш код. Придется ли нам его как-то переделывать? Для компаний типа NSO, которые выпускают шпионский софт, это все выглядит как попытки стрелять в движущуюся цель с большого расстояния. Им постоянно приходится переписывать разные части своей программы по мере того, как что-то меняется в операционной системе. Например, Apple может внезапно изменить API для включения микрофона или для обработки звука или чего-то еще. И тогда снова придется что-то менять.

Это довольно жуткая технология, и мы знаем, что с ее помощью совершались ужасные преступления. Но, тем не менее, это продукт, и он продается легально. Давай попробуем поговорить о Пегасусе как о представителе этой индустрии взломов. Например, эта программа работает сразу после покупки лицензии, или приходится подстраиваться и как-то настраивать атаку для каждой жертвы?

Ну, для зиро клик-атак, где жертве никуда не надо нажимать, вы просто вводите номер телефона пользователя, которого хотите взломать, а дальше система все делает сама. Насколько мы понимаем, это так работает. В случаях, когда вы отправляете адресату ссылку и надеетесь, что он на нее кликнет, вам, вероятно, придется ее как-то адаптировать. Но совсем незначительно. Ссылка же не приходит одна, её сопровождает какое-то сообщение. кто обычно жертвы такого ПО, на случайную ссылку они могут и не нажать. Но если их как-то завлечь, написать что-нибудь в духе «По ссылке доступна секретная новая информация о нарушениях прав человека», то они нажмут с большей вероятностью. Так что атакующие подгоняют вид атаки под жертву.

При продаже программного обеспечения используются разные модели. Например, модель SaaS, Software as a Service, когда ты платишь подписку раз в месяц или год и получаешь доступ к сервису. Или еще можно просто купить коробку программы, или можно заплатить один раз и пользоваться программой вечно. По какой модели продается Pegasus и подобные программы?

Мы, конечно, не можем с уверенностью сказать, как это устроено. Мы можем опираться только на находки из исследований и на заявления самой НСО о том, как работает их продукт. Но насколько мы понимаем, НСО продает покупателю что-то физическое, например, стойку с серверами Pegasus, которую можно установить в офисе клиента, то есть на территории какого-то правительственного учреждения. системой можно пользоваться только в случае, если у пользователя есть действующая лицензия Pegasus и если она подключена к более крупной облачной системе Pegasus. То есть, это как бы такая гибридная модель, в которой вы продаете что-то физическое, какую-то железку, а потом еще софт, и первое без второго бесполезно. Поэтому требуется лицензия. А лицензия, в свою очередь, мы так думаем, продаётся на год или на несколько лет. Есть ещё, как мы понимаем, всякие дополнительные фичи, которые можно докупить к основному продукту. Вот, например, возможность атаковать зироукликом— одна из таких фич. Она идёт отдельным пакетом и за него доплачивают. И, конечно, параметры лицензии могут варьироваться, и вместе с ними и стоимость. Один из параметров— количество целей, за которыми можно следить одновременно. Хочешь шпионить за пятью или десятью жертвами— платишь столько-то, а за сотни жертв— столько-то. Это такая подвижная шкала, где чем больше людей вы хотите отслеживать, тем больше вы платите. Другой параметр— это страна, в которой можно осуществлять шпионаж. Очевидно, по коду в начале номера телефона можно определить, в какой стране он зарегистрирован. И тут базовое предложение НСО такое— они продают продукт правительству X, и правительство X может шпионить только за своими собственными телефонными номерами в своей стране. Но если они хотят шпионить за границей, С них попросят оплату за использование на территории другой страны. Это точно известные нам модели лицензирования Pegasus и похожих ПО, по странам и по количеству жертв. Но также есть и другие.

Когда я слушал Билла, я подумал о том, что эта идея с продажей не просто софта, а вот еще каких-то стоек серверных, которые устанавливают там в дата-центре каком-нибудь защищенном— это, конечно, гениальная маркетинговая идея. Я почти уверен, что никакой физической, технической необходимости в этих серверах нет, которые стоят у пользователей конечных. Но сама идея того, что ты покупаешь не просто какой-то эфемерный софт, а вот реальные железки за много денег, она, конечно, мне кажется, очень хорошо работает со всем старшим поколением людей, которые ставят свою подпись под всеми этими закупками. Гениальный маркетинг, снимаю шляпу. Да, в их отделе маркетинга немало работы. А сколько примерно может стоить лицензия? Хотя порядок сумм, о которых идет речь, это сотни тысяч долларов или миллионы.

Я думаю, что обычно речь идёт о миллионах долларов. Но здесь ещё важно отметить, что с клиентов могут брать совершенно разные суммы за одно и то же. Разница может быть довольно существенной. Условно, если компания считает, что в стране покупателей всё не очень хорошо с правами человека, клиент рискованный и может злоупотребить технологию и попасться, то, конечно, компания возьмёт за продажу намного больше денег. А если, наоборот, есть уверенность в кавычках, в ответственности клиента и в том, что он не применит ПО противоправно, А ещё в стране есть нормально работающие надзорные органы, сумма будет меньше.

Итак, мы узнали, что есть супер дорогие программы, которые правительства многих стран покупают за миллионы долларов и используют в своих целях. Pegasus— самый известный такой софт. Он поражает жертву без каких-либо действий с ее стороны. О реальных клиентах шпионского софта и последствиях его применения мы продолжим разговор с Натальей Крапивой из AccessNow. Вы ее слышали в начале этого эпизода. Кто пользует Пегасуса?

Как сами НСО-группы рекламируют свои услуги, что они возможны только для представителей государства. Это секретная служба, полиция и так далее. То есть обычному человеку такого рода услуги невозможно приобрести, и к тому же они стоят очень много денег. О последних оценках мы не знаем наверняка, но, по крайней мере, несколько лет назад уже из документов, которые мы видели, это стоило как минимум несколько миллионов долларов. Поэтому это довольно-таки дорогое удовольствие для индивидуальных частных лиц. Но я добавлю к этому, что у нас есть примеры, когда правительства для покупки пегаса использовали shell companies, то есть компании, которые являлись посредниками, но они не являются сами по себе отдельными Личностями, то есть они сугубо были созданы для приобретения секретным способом этого продукта. в этой схеме для того, чтобы помочь мексиканскому правительству приобрести Pegasus.

Нифига себе, серьезно, что ли? То есть правительство Мексики создало какую-то подставную компанию для того, чтобы не напрямую купить эту программу, а через какое-то левое юрлицо?

Да, и, к сожалению, мы видим, что иногда новое правительство устраивает такого рода суды, вроде как, чтобы наказать предыдущее правительство. Но мы знаем о том, что нынешнее правительство Мексики также продолжает использовать PGAS. Поэтому, конечно, это хорошо, что хоть кто-то несёт ответственность, но в то же время этого недостаточно, потому что как минимум должны прекратить использование этого ПО. чтобы показать, что действительно правительство воспринимает это серьёзно.

У спецслужб каких стран есть доступ к этой программе?

В целом тенденция началась, наверное, такая, что сначала мы знали о странах, которые традиционно авторитарные режимы— это Саудовская Аравия, Марокко, Того. И со временем мы стали видеть, что, к сожалению, демократические страны также пользуются этим продуктом. У нас есть понимание того, по крайней мере, из расследования PEGA Committee— это Европейского парламента, расследование, что как минимум 14 стран Евросоюза являются пользователями, 22 оператора, то есть 22 агентства. И из тех, кого мы знаем— это Германия, Латвия, Эстония, Бельгия, Нидерланды и другие страны, что достаточно печально, потому что, мне кажется, Пегасо стал всё-таки как визитной карточкой диктаторов, и что демократические страны используют его, это очень-очень печально.

А Пегасо сам рассказывает, какие страны им пользуются, или это всё вот через расследование? Ты просто много раз вспомнила слово «расследование», а нет, скрывает, да?

Они скрывают, я бы сказала, что это бизнес-модель этих компаний, что они строго держат конфиденциально своих клиентов. Даже когда, как я говорю, мы проводим расследование, даже когда Европейский парламент или даже сами страны признаются правительству в том, что они используют Pegasus, даже тогда на слово всё равно не называют. своих клиентов, и это является большим препятствием для того, чтобы, конечно же, как-то эту проблему решить, потому что нас всё говорят, что «да, дайте нам, мы сами всё знаем, у нас есть полис, защиты прав человека. Но когда у них такие правила, что в конечном итоге они не могут ничего разглашать, и получается, что мы всегда им должны доверять, что они всё сделают правильно, конечно же, это недопустимо.

Я понял про деньги, про модель, так сказать. А что насчет технологии самой? Условно, у спецслужб есть какой-то интерфейс, с которым они могут нажать, добавить номер телефона или кого они хотят взломать. Или им нужно обращаться к создателю этой программы и просить взломать кого-то отдельно?

Этот момент, кстати, очень важный, потому что он является предметом судебных разбирательств, кстати, в Америке. Есть несколько разбирательств, например, WhatsApp и Apple подали в суд на НСО. И НСО пытались сделать такой аргумент, что мы вообще не делаем никакие заражения, мы очень мало вовлечены в весь этот процесс, мы только предоставляем услугу, и клиенты сами выбирают номера и заражают потенциальных жертв. Но на данный момент Мы не знаем этого точно. Насколько мы подозреваем, что НСО гораздо более вовлечены в этот процесс, чем они признают. Опять же, насколько у них есть видимость, то, что делают их клиенты, каждый раз разный у них ответ. Сначала они говорят, что они всё знают, и могут увидеть, если их продукт как-то им пользуется не по назначению. А в другой момент они могут сказать, что вообще-то мы ничего не знаем и мы ни за что не ответственны. Так что, к сожалению, у нас нет однозначного ответа на этот вопрос на сегодняшний день.

Классно. Надежда на американскую правоохранительную систему. Она медленная, конечно, но, возможно, что-то интересное мы узнаем. Расскажи, пожалуйста, ты просто упомянула, что они говорят, вот нас используют неправомерно, мы об этом... Они иногда говорят, что мы об этом узнаем и остановим, иногда говорят, мы вообще ничего не видим. А какое вообще правомерное использование? Зачем официальное объяснение? Зачем эта программа нужна?

Официально НСО объясняет, что их продукт предназначен, прежде всего, для предотвращения террористических атак, для предотвращения и наказания за такие преступления, то есть самые серьёзные преступления— терроризм, растление малолетних, всяческого рода жестокие преступления. Также в законах многих стран существует допущение какого-то количества слежки с учётом того, что есть решение суда и оправданы причины. Но, к сожалению, мы видим, что этот закон сейчас больше вместо того, что это исключение из правил, используется как норма. И используется уже, опять же, не только для террористов и жестоких преступников, а против журналистов и активистов. Но я хочу сказать, что у нас есть высказывания экспертов, допустим, в Евросоюзе, которые делали заключение, что даже при использовании в самых тяжёлых расследований, самых тяжёлых преступлений, тем не менее, такое вредоносное ПО как Пегас, которое даёт возможность доступа ко всему содержимому телефона без каких-либо ограничений и без каких-либо возможностей надзора, наблюдения над этим, что оно фундаментально, скорее всего, противоречит закону Евросоюза.

Очень интересно, я бы, конечно, честно говоря, я хотел бы вообще поговорить про то, насколько соответствует каким-то принципам человечности сама идея входа в чужой телефон, потому что известно, что, например, там отцы-основатели США считали, что личные бумаги нельзя человека читать, потому что, ну, это то, как ты думаешь на самом деле, ты записываешь свои мысли, и вырываться туда— это примерно как заставить человека там сказать то, что он не хочет сказать.

В данном случае сегодня телефон является больше, чем просто бумаги. Мы сегодня живём нашей жизнью в телефоне. Мы работаем, мы общаемся с близкими, мы занимаемся сексом, мы получаем доступ к медицине и так далее. То есть это самые интимные, самые важные аспекты нашей жизни, которые мы проживаем через наше устройство. И поэтому мы считаем, AccessNow и другие организации, которые противостоят использованию Пегаса и других видов слежки, что это должно быть либо абсолютно недопустимо, либо, если это в каких-то ситуациях, это может быть как исключение. Но это должно правительство показать, что понадобилось это исключение, а не мы должны и жертвы…

И доказывать, что это был перебор.

Да, то есть, как сказать, burden of proof should be on the government.

Да-да-да, это они должны доказывать в каждом конкретном случае, что по-другому никак не получалось. Слушай, а есть какие-то ограничения на то, как эта программа пользуется? Сами производители Pegasus хоть что-то запрещают или вообще типа free-for-all?

Были недавно статьи в New York Times, как минимум, про то, что НСО поставило ограничения на то, чтобы не заражали телефоны с российскими и американскими номерами. Опять же, мы не знаем на сто процентов, насколько это достоверно, но пока что мы не видели таких примеров. И телефон, опять же, Галины Тимченко был латвийским, не российским. Также мы слышали, что Украина пыталась приобрести Pegasus, но НСО ей отказали.

Окей, мне очень интересно. Это как бы их уникальная идея? Типа вот Pegasus это какой-то уникальный программный продукт? Или у них есть конкуренты? Вот расскажи, пожалуйста, насколько это уникальная программа?

На сегодняшний день, наверное, является, да, наиболее, по крайней мере, печально известной компанией. Но есть, да, также конкуренты— QuaDream. Мы знаем, что она используется, скорее всего, несколькими странами. Кстати, из нашего региона в Узбекистане есть жертвы. Также Citizen Lab называет, опять же, в последнем расследовании несколько ряд стран. Похожий, да, довольно-таки сложный тоже продукт. Также используют вот эти вот уязвимости Zero Day. Также есть другого рода ПО, например, Predator, который производится компанией Cytrox / Intellexa. Их недавно, кстати, тоже внесли США в их Entity List— это как что-то между экспорт-контрол и санкциями, то есть ставят определённые ограничения на американские компании, чтобы они сотрудничали с этими производителями. И да, такого рода компании довольно-таки активны опять же в Европе. Мы и наши коллеги из других организаций находили даже иногда, что телефоны одного активиста и журналиста заражался одновременно разными видами ПО, например, Pegasus и Predator, как в Citizen Lab у них был такой доклад, называется Pegasus vs Predator, то есть как Godzilla vs Alien. Да, на самом деле это можно сказать, наверное, только в кино такое бывает, но на самом деле это реальность каждодневной жизни, к сожалению, многих журналистов, активистов, диссидентов по всему миру, которые сталкиваются с такого рода слежкой.

Наташа упомянула о нескольких компаниях, которые разрабатывают вредоносное ПО. Сейчас узнаем у Билла, чем технически отличаются эти продукты. Билл, а в чем разница между этими программами? Условно, если я репрессивный режим и хочу купить себе такую штуку, на что я смотрю, между чем я выбираю?

Да, одно из основных различий— это векторы заражения, то есть способы доставить шпионскую программу на устройство жертв. NSO и Pegasus выбирают, конечно, потому, что они по большей части ориентированы на зеро-клик-атаки. За счет этого их труднее обнаружить, и со стороны жертвы не нужны никакие действия. Это такой хакинг высокого уровня. Мы не видели, например, чтобы Predator обладал такой возможностью. Но у них какие-то другие функциональности, которые могут интересовать государство. Они рекламируют, например, внедрение вредоносных пакетов в сеть. То есть они умеют манипулировать трафиком веб-сайтов так, чтобы загружать софт-шпион, пока жертва сидит в браузере. Но это, я думаю, не так интересно, как зироуклик, когда в один момент телефон может лежать на столе, все нормально, а потом приходит уведомление, и через секунду он заражен. Пожалуй, способ доставки— это самое большое различие между такими ПО. Но в целом, после того, как в телефон уже удалось пробиться, функциональность у конкурирующих продуктов практически одинаковая. А вот пользовательский интерфейс, который видит заказчик, может быть очень разным. Это ещё один параметр, в котором компании могут соперничать. Например, может быть какая-то из этих хакерских прок более юзерфрендли, чем другие. Ох...

А теперь возвращаемся к Наташе. И там были довольно смешной набор как бы лиц. Условный президент Франции Макрон, и там же какие-то правозащитники из Казахстана и Узбекистана. Я такой, окей, теперь этих ребят НСО-групп ненавидят, мне кажется, вообще типа все. Весь спектр. Дуров там был, например, еще из интересных. Или, например, Джефф Безос, самый богатый человек на планете. Правда, не в этом сливено, потом было расследование, что его телефон тоже взломали. Это, кажется, ребята, которых ненавидит реально весь мир. Как так получается, что они продолжают этим заниматься? У тебя есть какая-то гипотеза?

Я бы предположила, что это продолжает быть выгодным, потому что спрос на такого рода слежку очень большой. Несмотря на то, что правительства делают всякие расследования и шаги предпринимают, в то же время никто не хочет ограничивать свои возможности следить за другими или за своими гражданами. Но я всё-таки скажу, что мы смогли добиться уже большого результата, по крайней мере, в США, где на официальном уровне запретили какое-либо сотрудничество с компаниями, такими как НСО. На федеральном уровне, то есть никакие федеральные службы не могут приобретать и пользоваться такого рода технологиями. И американские компании, которые предоставляют инфраструктуру, во многом для такого рода компаний также не могут на сегодняшний день сотрудничать с НСО. Это очень важный шаг. И США объявили также, что такие компании, как NSO и продукты, как Pegasus, являются угрозой национальной безопасности США. Не только нарушением прав человека, но и угрозой национальной безопасности. И это очень большой шаг. И сейчас наши усилия направлены на то, чтобы как можно больше правительств подвигнуть на то, присоединились к США в этом заявлении и в этом законодательстве. Есть особый риск в том, чтобы такого рода ПО было легко доступным любым правительствам. И так как очень мало контроля за этим, на сегодняшний день мы имеем такую ситуацию, Опять же, я извиняюсь, но вернусь к ситуации с Галиной, что известнейшую журналистку заразили Пегасом в центре Европы, в Берлине, и мы не знаем, кто за этим стоит. У нас семь потенциальных, как минимум подозреваемых, среди них есть страны ЕС— это Германия, Латвия, Эстония и так далее. То есть, конечно же, это абсолютно бесконтрольное использование мы имеем, и это вредит не только правам человека, но и национальной безопасности стран, НАТО и так далее.

Окей, давай, пожалуйста, про заражение Галины поговорим. Как вообще она узнала о том, что её телефон заразили?

Галина получила нотификацию от Apple, что подверглось атаке от неизвестных злоумышленников. И, по-моему, на следующий день их сотрудник обратился к нам в AccessNow, сообщил, что пришло такое сообщение, и попросили помочь с проверкой телефона. И мы связались с Citizen Lab, которые наши технические партнёры, и в течение буквально Часа, наверное, нам удалось на тот момент подтвердить, что да, была попытка заражения, и в последующие дни мы всё-таки подтвердили конкретно дату, и что заражение было успешным.

А можешь, пожалуйста, немножечко рассказать, как вообще Apple узнала о том, что телефоны этих российских журналистов-активистов подверглись атаке? Хотя бы принципиально какой механизм вообще? Известно ли это?

Скорее всего, что опять же, они не видят, что это был пегас или не пегас, но они видят, что атака была произведена через какую-то уязвимость.

Которую они, скорее всего, патчат как раз в тот момент, когда обновление приходит, они патчат эту уязвимость и параллельно смотрят, была она использована, эксплуатирована или нет. Кажется, это самое логичное.

Да. Зачастую есть возможность именно поймать этот эксплойт, да, эту уязвимость, но опять же это... всё делается такими организациями, как Citizen Lab, которые бесплатно, несмотря на то, что это стоит миллионы долларов, бесплатно делают этот research, расследование и сообщают Apple о найденных уязвимостях.

Еще немного подробнее о том, как Apple действует в ситуациях взлома, нам расскажет Билл. Галина Тимченко говорила, что впервые заподозрила взлом с его телефона, когда получила пуш-уведомление от Apple. Эту часть истории я, честно говоря, вообще никак не могу понять. Как Apple поняли, что ее телефон взломан?

Помнишь, мы говорили, что многие атаки методом зеро-клика происходят через мессенджеры, часто, например, через iMessage. Что мы знаем об iMessage? Ну, мы знаем точно, что это собственное приложение Apple, и Apple его контролирует. Соответственно, все сообщения проходят через их сервера. Вредоносные в том числе. Интересно то, что iMessage защищен сквозным шифрованием. То есть Apple, конечно, не может видеть, что именно это за сообщение. Обычная переписка или со зловредной ссылкой. Но, поскольку Apple ориентированы на то, чтобы отлавливать такие моменты, они изучают поведение атакующих и потенциально могут определить злоумышленника по косвенным признакам. Возможно, там есть какая-то особенность в передаче данных через сервера компании. И если у них возникают сомнения в безвредности информации, Они оповещают возможных жертв.

Если я подозреваю, что мой телефон взломали, есть ли способ это проверить? Как это сделать?

Тебе надо будет связаться с организацией типа AccessNow. У них есть горячая линия для помощи. Туда можно обратиться по поводу отслеживания телефона. К сожалению, это практически единственный способ. То есть есть, конечно, какие-то публично доступные инструменты, но если инструмент находится в общем доступе, то значит и сами шпионские компании могут его использовать, изучать, тестировать через них свои продукты и менять что-то, чтобы их было сложнее обнаружить. Поэтому лучше обратиться в AccessNow или подобную организацию, у которых есть свои тулы. Они, в частности, используют наши инструменты, которые мы сами разработали в Citizen Lab, но публично мы их не выкладываем, чтобы производители софта шпиона не могли понять, как они устроены, и придумать, как нас обойти. Если

я замечу, что мой аккаунт в Инстаграме или электронная почта, или ВКонтакте были взломаны, я могу просто нажать на кнопку сброса пароля, и всех злоумышленников выкинют из учётки. На этом, в принципе, я в безопасности. Случай с шпионским софтом. Есть ли аналогичный способ почистить телефон после заражения и остановить атаку?

Ну, зависит от ситуации. Если атакуют методом нулевого клика, то даже если вредоносный софт удалить с телефона, вы остаетесь уязвимыми к повторной атаке. Вас могут взломать снова без особых усилий. Заказчик просто должен снова запустить программу. Потому что, допустим, если вы используете iOS 16.6, вас взламывают, и вы делаете сброс к заводским настройкам, телефон всё равно по-прежнему работает на 16.6. Это та же версия с незакрытым багом. Так что сброс настроек по сути ничего не даёт. Вам вообще без разницы, удалён ли шпион с телефона или нет. Уязвимость-то осталась. Если с вами такое произойдёт, то лучше вообще перестать пользоваться заражённым телефоном и купить новый. Так вы сможете сохранить улики и следы заражения на случай, если захотите предпринять какие-то юридические действия, подать на кого-то в суд, чтобы попытаться возместить ущерб. Для этого нужно, конечно, чтобы доказательства взлома оставались в наилучшем возможном состоянии. Поэтому прекратите пользоваться телефоном и купите новый. Но если вы не собираетесь подавать в суд и не хотите тратить деньги, вы можете просто сбросить настройки старого телефона. Можно ли его снова будет взломать? Конечно.

Звучит всё довольно безысходно, честно говоря. Сейчас мы спросим Наташи, можно ли хоть как-то подготовиться к атаке, чтобы хоть сколько-то усложнить жизнь тем, кто хочет нас взломать. Слушай, а можно от этого как-то защититься вообще?

К сожалению, это очень сложно, но, опять же, к счастью, Apple, например, разработали такой эффективный на данный момент режим, называется Apple Lockdown Mode, который закрывает уязвимости, которые чаще всего используются при атаках вредоносного ПО, тот же iMessage, но и другие методы. То есть этот режим делает сложным людям, которые не в ваших контактах, получить какой-то доступ, лазейку к вашему телефону. На сегодняшний день он очень эффективный. У нас были примеры того, что жертвы получают оповещения, когда пытаются их заразить. И в то же время мы видели примеры, где жертвы отключали этот мод и их, к сожалению, заражали повторно. Мы не знаем, насколько долго это продлится, опять же, потому что НСОДА и другие компании не вечно ищут новые способы обойти эти режимы и всякого рода защитные программы. Но на сегодняшний день это эффективно, и я бы очень посоветовала, особенно журналистам, активистам, в группе риска использовать этот метод. Он практически не влияет на функционирование телефона, я сама его использую, и это всё-таки стоит того. К сожалению, для пользователя Android такого метода не существует, но всё равно, наверное, помимо Lockdown Mode, самая эффективная практика, конечно же, это устанавливать все обновления, как только они появляются, и также практиковать минимизацию той информации, которая у вас на телефоне находится. То есть если вас заразили, чтобы как можно меньше информации получили. То есть это представить режим исчезающих сообщений, также менять пароли, насколько это возможно, и все соответствующие обычные практики. И опять же, если мы говорим не только о Пегасе, но и One Click, Кого такой предат или другие, то опять же стоит быть внимательным также и к сообщениям, и ссылкам и так далее, которые могут вам приходить.

Про Android хочу тебя еще раз спросить, потому что весь наш разговор крутится вокруг Apple, iPhone, какие они делают безопасные штучки. А как вообще, что ты можешь рассказать о безопасности андроидов? И NSO Group, кстати, продает услуги по взлому андроидов? У них есть такая услуга?

Да, и я хочу уделить внимание, что это не значит из того, что мы видим скандалы, связанные с айфонами, что андроид не заражается или является более безопасным. Нет, на самом деле я бы советовала на каждый случай взлома айфона представить, что столько же есть и взломов андроида, о которых мы не знаем. У нас есть кое-какая видимость и есть примеры расследований, которые показали, взлома андроида, но, к сожалению, андроид так устроен на сегодняшний момент, что он не хранит так долго информации о каких-то ошибках, взломах и, как мы говорим... Многих меньше. Да, говорим, что память у него как у мыши, а у айфона как у слона. И это, конечно же, является очень таким большим ограниченным фактором.

они могут взломать и после этого потереть все следы, и мы даже не сможем узнать, а у айфона есть некоторые механизмы, где ты никак не можешь убрать из памяти то, что однажды туда попало.

По крайней мере на сегодняшний день это так, но опять же я не удивлюсь, что найдут какой-то новый метод и даже в айфоне это каким-то образом стереть эти следы, но пока что это не было успешным.

Да, страшно. Получается в андроидах подтверждённых случаев меньше, но это просто потому, что в нём механизм подтверждения более слабый. Кайф, Наташа, спасибо тебе огромное. Стало страшновато, но мне кажется, это хороший страх, который мобилизует и вообще как-то двигает к тому, чтобы хоть как-то защититься и подумать о том, как правительство не очень-то заботится о нас, а делаешь какие-то странные вещи.

Конечно, было радо пообщаться, и спасибо, что ты освещаешь эту тему. Я думаю, что это очень важно. И люди должны понимать, что это не только какие-то политики, Макрон, Дуров— известные люди. Но, к сожалению, этот способ слежки становится более и более распространённым, и мы видим людей, которые особо не причастны политики, журнализму, которые являются жертвами этого ПО, а также те уязвимости, которые используют Пегас, НСО в наших устройствах, они также являются уязвимостями, которые и другие злоумышленники тоже могут воспользоваться. И это делает всех нас менее безопасными, поэтому это очень важно бороться. с такого рода эксплуатацией наших устройств. Особенно люди в Европе, в демократических странах, в которых есть возможность голосовать и чего-то требовать от своих политиков, представителей. Это очень важно, чтобы дали очень сильный отпор, нормализацию такого рода слежки.

Это подкаст Студии Либо-Либо, и сделали мы его совместно с сервисом онлайн-образования Яндекс Практику. Дорогие друзья, мы начали десятый сезон нашего подкаста. Спасибо вам большое, что вы с нами. Над подкастом работали редакторки Маша Агличева и Рита Бердинникова, продюсеры Настя Медведева и Данил Остапов, озвучил Билла Марзака (Bill Marczak) и смонтировал эпизод Юрий Шустицкий. За джингл спасибо Алексею Зеленскому. Редактор субтитров Т.Горелова Корректор А.Егорова