A maioria dos artigos sobre o Pegasus explica o que ele é. Pouquíssimos explicam como descobrir se ele está no seu celular. Este artigo trata da segunda pergunta, inclusive das partes inconvenientes.

Comecemos com o enquadramento honesto: o Pegasus não é uma ameaça de massa. Ele é vendido pelo NSO Group a clientes governamentais, cada implantação custa caro e ele mira pessoas específicas, geralmente jornalistas, defensores de direitos humanos, advogados, políticos de oposição e diplomatas. Se você está preocupado porque o seu celular está lento, a explicação de longe mais provável é que o seu celular está lento.

Mas pessoas visadas não são raras em números absolutos. A Apple enviou notificações de ameaça a usuários em mais de 150 países desde 2021, e uma única leva de notificações, em abril de 2024, atingiu pessoas em 92 países. Se o seu trabalho faz de você um alvo plausível, a pergunta merece uma resposta de verdade, não só palavras tranquilizadoras.

Por que não dá para detectar o Pegasus olhando para o seu celular

O Pegasus é zero-click. Não existe um link suspeito em que você deixou de não clicar, nenhum ícone de app para identificar, nenhuma janela de permissão que você aceitou. Ele já foi entregue pelo iMessage e por outras plataformas de mensagens sem nenhuma interação. Uma vez instalado, consegue acessar mensagens, e-mails, ligações, câmera, microfone e localização.

Ele também é discreto de propósito. Algumas variantes vivem só na memória, o que significa que uma reinicialização as remove, e remove junto a maior parte das provas. Outras já foram vistas apagando arquivos de registro atrás de si.

Isso quer dizer que a lista de conselhos de sempre — ficar de olho no consumo de bateria, procurar apps desconhecidos, reparar em pop-ups — é quase inútil aqui. Esses sintomas descrevem o stalkerware de consumo, que é outra ameaça, com outro orçamento. Contra spyware de nível estatal, a ausência de sintomas não diz nada.

Existe exatamente um tipo de resposta que funciona: a análise forense dos dados do celular feita de fora do celular.

As três verificações que valem a pena, nesta ordem

1. Veja se a Apple já avisou você

A Apple notifica as pessoas que ela acredita terem sido alvo individualmente. É a verificação mais valiosa que existe, leva dois minutos e é gratuita.

Entre em account.apple.com e veja se há um aviso no topo da página. A Apple também envia um e-mail e um iMessage para os endereços associados ao seu ID Apple.

Duas coisas para ter em mente. Uma notificação é um indício forte de que você foi alvo, mas a ausência dela não é indício de que você não foi, já que a detecção da Apple não tem como ser completa. E, como essas notificações são alarmantes e muito divulgadas, elas são muito imitadas: uma verdadeira nunca pede que você clique num link, instale um software, abra um anexo ou informe uma senha.

2. Mande examinar os registros do próprio celular

Vestígios sobrevivem no aparelho, em lugares que os apps não alcançam:

Bancos de dados que registram quais processos usaram a rede, e quando
Registros de falhas de tentativas de exploit que não deram certo
Um arquivo do sistema que registra os desligamentos e pode guardar anomalias em torno de uma infecção
Metadados de anexos de mensagens e vestígios em cache

O Security Lab da Amnesty International reconstruiu a cadeia de infecção do Pegasus exatamente a partir desse tipo de material e publicou tanto a metodologia quanto as ferramentas em julho de 2021, como parte do Projeto Pegasus. A ferramenta de código aberto deles, o Mobile Verification Toolkit, normalmente chamado de MVT, compara um backup de iPhone com indicadores de comprometimento: domínios, nomes de processos e vestígios de arquivos associados a campanhas conhecidas.

Se você se sente à vontade no terminal, o MVT é a implementação de referência e é gratuito. Você o instala com Python, gera um backup criptografado do iPhone, baixa um arquivo de indicadores atualizado e roda a análise. O resultado é um conjunto de arquivos JSON que você depois precisa interpretar.

Se essa frase deu um frio na barriga, essa é a barreira real. O método é público e sólido; a distância prática entre um jornalista preocupado e uma análise forense concluída é o que trava a maioria das pessoas. O Haris Shield existe para encurtar essa distância, com uma limitação que você deve conhecer. Ele confere os registros de falhas com base nos mesmos indicadores públicos e apresenta o resultado como um relatório, e não como JSON. A versão atual não analisa um backup criptografado, então, sozinha, ela lê menos do que uma execução completa do MVT; importar um sysdiagnose acrescenta os bancos de dados de uso de rede e de execução de processos. Se você tem motivos concretos para acreditar que é alvo do Pegasus, rode o MVT num backup criptografado ou peça ajuda ao Security Lab da Amnesty ou à Digital Security Helpline da Access Now.

3. Entenda o que significa um resultado limpo

Uma análise limpa significa que nenhum indicador conhecido foi encontrado nos dados examinados. Não significa que o seu celular nunca foi comprometido. Se havia uma variante que vive só na memória e o celular foi reiniciado depois disso, pode não ter sobrado nada para encontrar. Se a campanha contra você usou ferramentas para as quais nenhum pesquisador publicou indicadores ainda, não há com o que comparar.

Quem diz que consegue atestar que um iPhone está limpo está prometendo demais. A perícia forense encontra provas; ela não prova ausência.

O que fazer se algo for encontrado

Não reinicie nem faça uma redefinição de fábrica imediatamente. O seu instinto vai ser apagar o celular. Se você talvez queira que a descoberta possa ser usada — por um advogado, uma redação, um tribunal ou por pesquisadores que acompanham a campanha —, então o aparelho e os dados dele são provas, e a redefinição as destrói.

Parta do princípio de que a conta, e não só o celular, está comprometida. Troque a senha do seu ID Apple e de todas as senhas importantes a partir de outro aparelho de confiança. Revise quais dispositivos estão conectados ao seu ID Apple e remova os que você não reconhece.

Busque ajuda especializada. Várias organizações fazem esse trabalho para pessoas em situação de risco, muitas vezes sem custo. A Access Now mantém uma Digital Security Helpline para a sociedade civil; o Security Lab da Amnesty investiga casos que envolvem defensores de direitos humanos. Se foi o seu trabalho que colocou você nessa situação, você é exatamente o público a quem eles se dirigem.

Pense no lado humano. Se você é jornalista, as fontes que entraram em contato com você também podem estar expostas. Muitas vezes, esse é o verdadeiro objetivo.

Como reduzir o risco daqui para a frente

O Modo de Isolamento é a medida isolada mais forte disponível no iOS. Ele desativa a maioria dos tipos de anexo de mensagem, certas tecnologias da web e alguns recursos de conexão. A Apple declarou não ter conhecimento de nenhum ataque bem-sucedido de spyware mercenário contra um aparelho com o Modo de Isolamento ativado. Ele fica em Ajustes, Privacidade e Segurança. Ele deixa o celular menos prático, e essa é a troca.
Atualize imediatamente. Essas cadeias dependem de falhas não corrigidas; a demora é a vulnerabilidade.
Reinicie com frequência. Contra variantes que vivem na memória, uma reinicialização remove a infecção. Também remove as provas, então, se você suspeita de um comprometimento ativo, busque orientação antes de reiniciar.
Reduza a sua superfície de ataque. Menos apps de mensagens, menos contas que estranhos conseguem alcançar.
Separe as coisas. Para um trabalho de risco realmente alto, um aparelho separado para os contatos sensíveis limita quanto um único comprometimento custa a você.

Perguntas frequentes, em poucas palavras

Existe um app que detecta o Pegasus? Não no iOS. Os apps rodam num sandbox e não conseguem examinar o sistema, e é por isso que todo método de detecção confiável funciona a partir de um computador, sobre um backup.

Uma redefinição de fábrica remove o Pegasus? Provavelmente, e também remove as provas, e não resolve a exposição que fez de você um alvo. É um passo, não uma solução.

Posso ser infectado sem clicar em nada? Sim. Essa é a característica que define essas campanhas.

Devo me preocupar? Se você é jornalista, ativista, advogado ou figura política, principalmente se trabalha com temas de que algum governo não gosta, a pergunta é razoável e vale a pena resolvê-la direito. Se não é, e nada de específico motivou esta busca, a resposta quase certamente é não, e o stalkerware comum é uma preocupação muito mais provável. Nosso guia sobre como detectar spyware no iPhone trata desse caso.

Fontes

Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
Mobile Verification Toolkit: mvt.re e github.com/mvt-project/mvt
Apple, Sobre as notificações de ameaça da Apple e a proteção contra spyware mercenário: support.apple.com/en-us/102174
Access Now Digital Security Helpline: accessnow.org/help

Spyware Pegasus: como descobrir se o seu iPhone está infectado