הסבר: מהי תוכנת הריגול הישראלית פגסוס, שביצעה מעקבים באמצעות וואטסאפ?

מהי התוכנה הזדונית מתוצרת ישראל שלדבריה וואטסאפ שימשה כדי לחטט בקיץ אחר עיתונאים ופעילים ברחבי העולם, כולל בהודו? האם אתה בסיכון אישי, והאם עליך להפסיק להשתמש בווטסאפ?

WhatsApp, שבבעלות פייסבוק, היא אפליקציית ההודעות הפופולרית בעולם, עם יותר מ-1.5 מיליארד משתמשים ברחבי העולם. כרבע מהמשתמשים האלה - יותר מ-400 מיליון, או 40 מיליון - נמצאים בהודו, השוק הגדול ביותר של WhatsApp.

ביום חמישי, כך דיווח ה'אינדיאן אקספרס'. שפלטפורמת המסרים הפופולרית WhatsApp שימשה לריגול אחר עיתונאים ופעילי זכויות אדם בהודו מוקדם יותר השנה. המעקב בוצע באמצעות כלי ריגול בשם פגסוס , אשר פותחה על ידי משרד ישראלי, קבוצת NSO.

וואטסאפ תבע את קבוצת NSO בבית משפט פדרלי בסן פרנסיסקו שלשום, האשים אותה בשימוש בשרתי WhatsApp בארצות הברית ובמקומות אחרים כדי לשלוח תוכנות זדוניות לכ-1,400 טלפונים ניידים והתקנים ('התקני מטרה')... לצורך ביצוע מעקב אחר משתמשי WhatsApp ספציפיים ( 'משתמשי יעד').

המעקב בוצע בין ובסביבות אפריל 2019 ועד מאי 2019 בתאריך משתמשים ב-20 מדינות על פני ארבע יבשות, אמרה WhatsApp בתלונתה.

במאמר מאמר ב'וושינגטון פוסט', ראש ווטסאפ, וויל קתקרט, כתב כי המעקב כוון לפחות ל-100 מגיני זכויות אדם, עיתונאים וחברים אחרים בחברה האזרחית ברחבי העולם. הוא הדגיש כי נעשה שימוש לרעה בכלים המאפשרים מעקב אחר חיינו הפרטיים, והתפשטות הטכנולוגיה הזו לידי חברות וממשלות חסרות אחריות מסכנת את כולנו.

WhatsApp, שנמצאת בבעלות פייסבוק, היא אפליקציית ההודעות הפופולרית בעולם, עם יותר מ-1.5 מיליארד משתמשים ברחבי העולם. כרבע מהמשתמשים האלה - יותר מ-400 מיליון, או 40 מיליון - נמצאים בהודו, השוק הגדול ביותר של WhatsApp.

קבוצת NSO היא חברת אבטחת סייבר תל אביבית המתמחה בטכנולוגיית מעקב ומתיימרת לסייע לממשלות ורשויות אכיפת חוק ברחבי העולם להילחם בפשע ובטרור.

אז מה זה בעצם פגסוס?

כל תוכנות הריגול עושות את מה שהשם מרמז - הן מרגלות אחרי אנשים דרך הטלפונים שלהם. Pegasus פועלת על ידי שליחת קישור ניצול, ואם משתמש היעד לוחץ על הקישור, התוכנה הזדונית או הקוד המאפשר את המעקב מותקן בטלפון של המשתמש. (ככל הנראה גרסה חדשה יותר של התוכנה הזדונית אפילו לא דורשת ממשתמש יעד ללחוץ על קישור. עוד על כך בהמשך.) לאחר התקנת Pegasus, לתוקף יש גישה מלאה לטלפון של משתמש היעד.

הדיווחים הראשונים על פעולות תוכנות הריגול של פגסוס הופיעו ב-2016, כאשר אחמד מנסור, פעיל זכויות אדם באיחוד האמירויות, היה ממוקד עם קישור SMS באייפון 6 שלו. הכלי של פגסוס ניצל באותה תקופה נקודת חן בתוכנה ב-iOS של אפל כדי להשתלט על המכשיר. אפל הגיבה בדחיפה של עדכון כדי לתקן או לתקן את הבעיה.

בספטמבר 2018, The Citizen Lab, מעבדה בינתחומית שבסיסה בבית הספר מונק לעניינים גלובליים ומדיניות ציבורית, אוניברסיטת טורונטו, הראתה שפגסוס מספקת שרשרת של ניצול יום אפס לחדור לתכונות אבטחה בטלפון ומתקינה את פגסוס ללא הידע או ההרשאה של המשתמש. הפעילות של תוכנת הריגול של פגסוס הייתה פעילה ב-45 מדינות באותה עת, כך הראה מחקר של Citizen Lab.

(ניצול של יום אפס הוא פגיעות לא ידועה לחלוטין, שאפילו יצרן התוכנה אינו מודע לה, ולפיכך אין תיקון או תיקון זמין עבורה. במקרים הספציפיים של אפל ו-WhatsApp, לפיכך, אף אחת מהחברות לא הייתה מודעים לפגיעות האבטחה, ששימשה כדי לנצל את התוכנה ולהשתלט על המכשיר.)

בדצמבר 2018, הפעיל הסעודי ממונטריאול עומר עבדולעזיז הגיש תביעה נגד קבוצת NSO בבית משפט בתל אביב, בטענה שהטלפון שלו הוחדר באמצעות פגסוס, ושיחות שניהל עם חברו הקרוב, העיתונאי המתנגד הסעודי שנרצח. ג'מאל חשוגי, חטט. חאשוגי נטבח על ידי סוכנים סעודים בקונסוליה של הממלכה באיסטנבול ב-2 באוקטובר 2018; עבדולעזיז אמר שהוא מאמין שהטלפון שלו נפרץ באוגוסט אותה שנה.

במאי 2019 דיווח הפייננשל טיימס כי נעשה שימוש בפגסוס לניצול WhatsApp וריגול אחר מטרות פוטנציאליות. WhatsApp פרסמה עדכון תוכנה דחוף כדי לתקן את באג האבטחה שאיפשר לתוכנת הריגול לנצל את האפליקציה.

שיטת פגסוס

כדי לנטר יעד, מפעיל פגסוס חייב לשכנע יעד ללחוץ על 'קישור ניצול' בעל מבנה מיוחד המאפשר למפעיל לחדור לתכונות האבטחה בטלפון ולהתקין את פגסוס ללא ידיעתו או רשותו של המשתמש. לאחר ניצול הטלפון והתקנת פגסוס, הוא מתחיל ליצור קשר עם שרתי הפיקוד והבקרה של המפעיל כדי לקבל ולבצע פקודות מפעיל, ולשלוח בחזרה את הנתונים הפרטיים של היעד, כולל סיסמאות, רשימות אנשי קשר, אירועי לוח שנה, הודעות טקסט ושיחות קוליות חיות מ- אפליקציות פופולריות להעברת הודעות לנייד. המפעיל יכול אפילו להפעיל את המצלמה והמיקרופון של הטלפון כדי ללכוד פעילות בסביבת הטלפון. בפגיעות האחרונה, נושא התביעה, ייתכן שגם לחיצה על 'קישור ניצול' לא תידרש ושיחת וידאו שלא נענתה בוואטסאפ תאפשר פתיחת הטלפון, ללא תגובה מהמטרה כלל.

לאחר ההתקנה, מה כל יכול פגסוס לעשות?

הפוסט של Citizen Lab אמר כי פגסוס יכולה לשלוח בחזרה את הנתונים הפרטיים של היעד, כולל סיסמאות, רשימות אנשי קשר, אירועי לוח שנה, הודעות טקסט ושיחות קוליות חיות מאפליקציות הודעות ניידות פופולריות. ניתן להפעיל את מצלמת הטלפון והמיקרופון של המטרה כדי ללכוד את כל הפעילות בסביבת הטלפון, ולהרחיב את היקף המעקב. על פי טענות בחוברת של פגסוס ש-WhatsApp הגישה לבית המשפט כתערוכה טכנית, התוכנה הזדונית יכולה גם לגשת לדואר אלקטרוני, SMS, מעקב אחר מיקום, פרטי רשת, הגדרות מכשיר ונתוני היסטוריית גלישה. כל זה מתרחש ללא ידיעת משתמש היעד.

מאפיינים מרכזיים נוספים של פגסוס, על פי החוברת הם: יכולת לגשת למכשירים מוגני סיסמה, להיות שקוף לחלוטין למטרה, לא להשאיר עקבות על המכשיר, צריכת סוללה, זיכרון ונתונים מינימליים כדי לא לעורר חשד בכוננות רבה יותר. משתמשים, מנגנון השמדה עצמית במקרה של סיכון לחשיפה, ויכולת לאחזר כל קובץ לניתוח מעמיק יותר.

החוברת, הנקראת Pegasus: Product Description, אומרת שפגסוס יכולה לעבוד על מכשירים מבוססי BlackBerry, Android, iOS (iPhone) ו-Symbian. האזכור של מערכת ההפעלה הניידת Symbian שהופסקה כעת וה-BlackBerry שכבר לא פופולרית מעידה שהמסמך ישן - ופגסוס בהחלט שודרגה במהלך השנים.

ואיך פגסוס ניצלה את וואטסאפ?

זו השאלה הגדולה עבור רבים, בהתחשב בעובדה ש-WhatsApp תמיד טמפררה את ההצפנה שלה מקצה לקצה. הדיווח של הפייננשל טיימס במאי השנה אמר כי שיחה שלא נענתה באפליקציה היא כל מה שנדרש כדי להתקין את התוכנה במכשיר - לא נדרשה לחיצה על קישור מטעה. וואטסאפ הסבירה מאוחר יותר כי פגסוס ניצלה את פונקציית הווידאו/שיחת הקול באפליקציה, שהייתה לה פגם אבטחה של אפס יום. זה לא משנה אם היעד לא קיבל את השיחה - הפגם איפשר להתקין את התוכנה הזדונית בכל מקרה.

הניצול השפיע על WhatsApp ל-Android לפני גרסה 2.19.134, WhatsApp Business לאנדרואיד לפני גרסה 2.19.44, WhatsApp ל-iOS לפני גרסה 2.19.51, WhatsApp Business ל-iOS לפני גרסה 2.19.51, WhatsApp ל-Windows Phone לפני v2.18.348 , ו-WhatsApp for Tizen (שבשימוש מכשירי סמסונג) לפני v2.18.15.

קריקטורה אקספרס מאת E P Unny.

האם ניתן להשתמש בפגסוס כדי למקד כמעט כל אחד?

טכנית, כן. אבל בעוד כלים כגון פגסוס יכולים לשמש למעקב המוני; זה נראה סביר שרק אנשים נבחרים יהיו ממוקדים. במקרה הנוכחי, וואטסאפ טענה שהיא שלחה הודעה מיוחדת לכ-1,400 משתמשים שלדעתה הושפעו מהתקיפה, כדי ליידע אותם ישירות על מה שקרה.

WhatsApp לא מסרה עם כמה אנשים היא יצרה קשר בהודו. האתר הזה דיווח ביום חמישי כי לפחות שני תריסר אקדמאים, עורכי דין, פעילי דלית ועיתונאים הוזעקו על ידי החברה בהודו.

לא ידוע מי ביצע את המעקב אחר המטרות ההודיות. קבוצת NSO, בעודה חולקת על הטענות של וואטסאפ במונחים החזקים ביותר, אמרה שהיא מספקת את הכלי באופן בלעדי לרשויות מודיעין ורשויות אכיפת חוק ממשלתיות מורשות, ולא רק לכל מי שרוצה בכך.

האם ההצפנה מקצה לקצה של WhatsApp כעת נפגעת? האם עליך לעבור לאפליקציה אחרת - אולי Signal או Wire או Telegram?

עצם הפופולריות של אפליקציית הודעות הופכת אותה למטרה עבור האקרים, פושעי סייבר או גופים אחרים. אפילו רשויות אכיפת החוק ברחבי העולם רוצות שהודעות יפוענחו - דרישה ש-WhatsApp נלחמת בה, כולל בהודו.

WhatsApp משתמשת בפרוטוקול אפליקציית Signal להצפנה מקצה לקצה, שנראה בטוח עד כה. לוואטסאפ יש יתרון על טלגרם: בטלגרם רק הצ'אטים הסודיים מוצפנים מקצה לקצה, בעוד שבוואטסאפ הכל מוצפן מקצה לקצה כברירת מחדל.

אלה שהפרק בוואטסאפ שיקשקו אולי ירצו לעבור ל-Signal או Wire. עם זאת, חשוב להיות מודע לכך שניצול 'יום אפס' לא ידוע יכול להתקיים עבור כמעט כל תוכנה ואפליקציה בעולם - ושהם עשויים להיות מנוצלים בשלב מסוים בעתיד על ידי יחידים או סוכנויות שנחושות לעשות זאת.

שתף עם החברים שלך: