Большинство статей о Pegasus рассказывают, что это такое. Очень немногие объясняют, как узнать, есть ли он на вашем телефоне. Эта статья — о втором вопросе, включая неудобные его стороны.

Начнём с честной постановки: Pegasus — не массовая угроза. NSO Group продаёт его государственным заказчикам, каждое развёртывание стоит дорого, и направлен он против конкретных людей — обычно журналистов, правозащитников, юристов, оппозиционных политиков и дипломатов. Если вы беспокоитесь, потому что телефон тормозит, то почти наверняка объяснение в том, что телефон просто тормозит.

Но в абсолютных цифрах людей, ставших целью, не так уж мало. С 2021 года Apple отправила уведомления об угрозах пользователям более чем в 150 странах, а только одна волна уведомлений в апреле 2024 года затронула людей в 92 странах. Если из-за вашей работы вы можете оказаться целью, этот вопрос заслуживает настоящего ответа, а не успокоительных слов.

Почему Pegasus нельзя обнаружить, просто осмотрев телефон

Pegasus заражает без касания (zero-click). Нет подозрительной ссылки, которую вы не сумели обойти, нет значка приложения, который можно заметить, нет окна с запросом разрешения, которое вы подтвердили. Его доставляли через iMessage и другие мессенджеры вообще без какого-либо участия пользователя. Обосновавшись на устройстве, он получает доступ к сообщениям, почте, звонкам, камере, микрофону и геопозиции.

Кроме того, он намеренно ведёт себя тихо. Некоторые варианты живут только в памяти, а значит, перезагрузка удаляет их — и вместе с ними большую часть улик. Другие, как было замечено, подчищают за собой файлы журналов.

Поэтому обычный список советов — следите за разрядом батареи, ищите незнакомые приложения, обращайте внимание на всплывающие окна — здесь почти бесполезен. Эти симптомы описывают потребительское сталкерское ПО, а это другая угроза с другим бюджетом. Против шпионского ПО государственного уровня отсутствие симптомов не говорит ни о чём.

Работает ровно один класс решений: криминалистический анализ данных телефона извне самого телефона.

Три проверки, которые стоит провести, по порядку

1. Проверьте, не предупредила ли вас уже Apple

Apple уведомляет людей, которые, по её данным, стали индивидуальной целью атаки. Это самая ценная из доступных проверок: она занимает две минуты и ничего не стоит.

Войдите на account.apple.com и посмотрите, нет ли вверху страницы предупреждения. Кроме того, Apple отправляет письмо и сообщение iMessage на адреса, связанные с вашим Apple ID.

Помните о двух вещах. Уведомление — веское свидетельство того, что вы были целью, но его отсутствие не доказывает обратного, поскольку обнаружение у Apple не может быть полным. И раз эти уведомления пугают и широко освещаются, их активно подделывают: настоящее никогда не просит перейти по ссылке, установить программу, открыть вложение или сообщить пароль.

2. Отдайте на экспертизу собственные записи телефона

Следы всё же сохраняются на устройстве — там, куда приложения не дотягиваются:

В базах данных, где записано, какие процессы и когда пользовались сетью
В журналах сбоев от неудавшихся попыток эксплойта
В системном файле, фиксирующем выключения, где могут остаться аномалии, связанные с заражением
В метаданных вложений сообщений и следах в кэше

Security Lab организации Amnesty International восстановила цепочку заражения Pegasus именно по таким материалам и в июле 2021 года в рамках Pegasus Project опубликовала и методологию, и инструменты. Её инструмент с открытым исходным кодом Mobile Verification Toolkit, обычно называемый MVT, сравнивает резервную копию iPhone с индикаторами компрометации: доменами, названиями процессов и файловыми следами, связанными с известными кампаниями.

Если вы уверенно чувствуете себя в терминале, MVT — эталонная реализация, и он бесплатен. Вы устанавливаете его через Python, создаёте зашифрованную резервную копию iPhone, загружаете актуальный файл индикаторов и запускаете анализ. Результат — набор JSON-файлов, в которых затем нужно разобраться.

Если от этого предложения у вас ёкнуло сердце, то вот он, настоящий барьер. Метод общедоступен и надёжен; большинство останавливает практическое расстояние между встревоженным журналистом и завершённым криминалистическим анализом. Haris Shield существует, чтобы сократить это расстояние, — но с ограничением, о котором вам стоит знать. Он проверяет журналы сбоев по тем же общедоступным индикаторам и представляет результат в виде отчёта, а не JSON. Текущая версия не анализирует зашифрованную резервную копию, поэтому сама по себе читает меньше, чем полный запуск MVT; импорт sysdiagnose добавляет базы данных об использовании сети и о запуске процессов. Если у вас есть конкретные основания считать себя целью Pegasus, запустите MVT на зашифрованной резервной копии или обратитесь за помощью в Security Lab организации Amnesty или в Digital Security Helpline организации Access Now.

3. Поймите, что означает чистый результат

Чистый результат анализа означает, что в изученных данных не нашлось известных индикаторов. Он не означает, что ваш телефон никогда не был скомпрометирован. Если на нём был вариант, живущий только в памяти, а телефон с тех пор перезагружался, искать может быть уже нечего. Если в кампании против вас использовались инструменты, для которых ни один исследователь ещё не опубликовал индикаторы, сравнивать просто не с чем.

Любой, кто говорит, что может удостоверить чистоту iPhone, преувеличивает. Криминалистика находит улики, но не доказывает их отсутствие.

Что делать, если что-то найдено

Не перезагружайте телефон и не сбрасывайте его до заводских настроек сразу. Инстинкт подскажет стереть всё. Но если вы, возможно, захотите, чтобы находкой можно было воспользоваться — юристу, редакции, суду или исследователям, которые отслеживают кампанию, — то устройство и его данные являются доказательствами, а сброс их уничтожит.

Исходите из того, что скомпрометирован не только телефон, но и аккаунт. Смените пароль Apple ID и все важные пароли с другого устройства, которому вы доверяете. Проверьте, на каких устройствах выполнен вход в ваш Apple ID, и удалите незнакомые.

Обратитесь к специалистам. Несколько организаций занимаются этим для людей из групп риска, часто бесплатно. Access Now поддерживает Digital Security Helpline для гражданского общества; Security Lab организации Amnesty расследует случаи, связанные с правозащитниками. Если вы оказались в этом положении из-за своей работы, они работают именно для вас.

Подумайте о людях. Если вы журналист, под угрозой могут оказаться и источники, которые с вами связывались. Часто именно они и есть настоящая цель.

Как снизить риск в дальнейшем

Режим блокировки — самая сильная отдельная мера, доступная в iOS. Он отключает большинство типов вложений в сообщениях, некоторые веб-технологии и часть функций подключения. Apple заявляет, что ей неизвестно ни об одной успешной атаке наёмного шпионского ПО на устройство с включённым режимом блокировки. Он находится в «Настройках», в разделе «Конфиденциальность и безопасность». Телефоном становится менее удобно пользоваться — такова цена.
Обновляйтесь немедленно. Такие цепочки атак зависят от незакрытых уязвимостей; промедление и есть уязвимость.
Регулярно перезагружайте телефон. Против вариантов, живущих в памяти, перезагрузка устраняет заражение. Но она устраняет и улики, поэтому, если вы подозреваете активную компрометацию, сначала посоветуйтесь со специалистами.
Сократите поверхность атаки. Меньше мессенджеров, меньше аккаунтов, до которых могут добраться посторонние.
Разделяйте. Для действительно рискованной работы отдельное устройство для важных контактов ограничит ущерб от одной компрометации.

Частые вопросы — коротко

Есть ли приложение, которое обнаруживает Pegasus? На iOS — нет. Приложения работают в изолированной среде и не могут изучать систему, поэтому все заслуживающие доверия методы обнаружения работают с компьютера и по резервной копии.

Удалит ли его сброс до заводских настроек? Вероятно, да, но он удалит и улики и не устранит ту уязвимость, из-за которой вы стали целью. Это шаг, а не решение.

Можно ли заразиться, ни на что не нажимая? Да. Это определяющее свойство таких кампаний.

Стоит ли мне беспокоиться? Если вы журналист, активист, юрист или политический деятель, особенно если вы работаете над темами, которые не нравятся какому-либо правительству, вопрос обоснован и заслуживает того, чтобы разобраться в нём как следует. Если нет и ничего конкретного не подтолкнуло вас к этому поиску, ответ почти наверняка — нет, и гораздо вероятнее, что беспокоиться стоит об обычном сталкерском ПО. Этот случай разобран в нашем руководстве по обнаружению шпионского ПО на iPhone.

Источники

Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
Mobile Verification Toolkit: mvt.re и github.com/mvt-project/mvt
Apple, Об уведомлениях Apple об угрозах и защите от наёмного шпионского ПО: support.apple.com/en-us/102174
Access Now Digital Security Helpline: accessnow.org/help

Проверка на Pegasus: как узнать, заражён ли ваш iPhone