ZapingNews: Como identificar e eliminar spyware Pegasus no seu telefone

Um poderoso spyware de nível militar israelense ganhou lugar nas manchetes internacionais no domingo, quando investigações descobriram que pelo menos 50.000 pessoas em mais de uma dúzia de países tiveram seus smarthphones alvo de ataques sofisticados de hack que roubaram informações e transformaram os dispositivos em bugs móveis.

Governos, jornalistas, políticos de oposição e grupos de direitos humanos em todo o mundo estão exigindo uma investigação formal sobre o Pegasus, o spyware criado pela obscura empresa de software israelense NSO Group. Vendido para estados para 'lutar contra o terrorismo e o crime', o software foi descoberto por ter sido usado de maneiras inescrupulosas para atingir membros da imprensa, legisladores e outros, ajudando a eliminar a dissidência ou permitindo que os governos se antecipem a escândalos potencialmente embaraçosos.

Imagem//Kaspersky

Como a tecnologia 5G vai mudar nosso mundo

Como funciona

O Pegasus não é um malware típico de um clique que requer interação do usuário, geralmente seguindo um link malicioso, para obter acesso a um dispositivo. Em vez disso, o spyware infecta os telefones por meio de um chamado ataque de clique zero, que não precisa da interação do usuário e simplesmente se instala e começa a coletar dados.

Uma vez instalado, o spyware, que é compatível com Android e Apple iOS, pode obter acesso a todos os tipos de dados no telefone do usuário, desde contatos e mensagens criptografadas até registros de chamadas, fotos e dados de localização GPS. Além disso, é capaz de ligar ou desligar os microfones e as câmaras remotamente, transformando o dispositivo num dispositivo móvel de escuta ou visualização.

Para ocultar sua presença, o Pegasus minimiza o consumo de largura de banda para evitar o esgotamento da bateria e levantar suspeitas. Em vez disso, ele envia atualizações regulares programadas para comandos e servidores de controle (C2s), os computadores ou domínios usados por quem está fazendo a espionagem. Infelizmente, o spyware também é imune aos softwares antivírus disponíveis no mercado.

Como verificar se tem o Pegasus?

A natureza impercetível do spyware, a sua instalação sem clique e sua impermeabilidade aos antivírus tornam virtualmente impossível para os proprietários de telefones detetar sua presença simplesmente observando seu dispositivo.

No entanto, há esperança. Como o software se conecta aos C2s mencionados acima, uma pesquisa para determinar se um telefone se comunicava ou não com servidores de instalação Pegasus conhecidos pode teoricamente detetar se o malware está instalado.

A Anistia Internacional, a organização de direitos humanos com sede em Londres que ajudou a mídia a estourar a extensão da disseminação de Pegasus nas reportagens deste fim de semana, identificou dispositivos iPhone comprometidos estudando os registos de execuções de processos e uso de rede em arquivos de banco de dados de telefones, uso de dados .sqlite e netusage.sqlite.

A análise da Anistia encontrou um total de 45 nomes de processos suspeitos em sua análise, com Citizen Lab, um desenvolvedor de software da Universidade de Toronto que trabalha para proteger os cidadãos contra vigilância, combinando 28 desses processos em sua própria investigação conduzida de forma independente.

Gigantes da tecnologia, como a Apple, e fabricantes de aplicativos como o WhatsApp do Facebook, não ficaram quietos enquanto a Pegasus executa descontroladamente em seus dispositivos e software, desde que o spyware foi descoberto pela primeira vez em 2016 e tentaram fechar as violações de segurança quando são encontrados. Esta é uma das razões pelas quais o Grupo NSO trabalhou para desenvolver novas versões de seu spyware. Infelizmente, o gigante israelense do spyware parece ter permanecido à frente de empresas como a Apple, com o investigador do Citizen Lab, Bill Marczak, relatando na segunda-feira que a última versão do iOS, a versão 14.6, ainda é vulnerável ao Pegasus.

Os usuários podem scanear os seus telefones independentemente por sinais de que seu dispositivo foi comprometido usando o kit de ferramentas de 'indicador de comprometimento' (IoC) da Anistia . O software, formalmente conhecido como 'Mobile Verification Toolkit' ou MVT, funciona com iOS e Android.

Na sua forma atual, o software não é uma experiência fácil de usar, não tem interface gráfica e é instalado na linha de comando do telefone, o que significa que é necessário um conhecimento básico de codificação básica. O kit de ferramentas também requer o download e a instalação de dependências para funcionar.

Empresas de segurança na Internet alertam sobre surto de 'cybercoronavírus'

Uma vez instalado, o software permite aos usuários criar um backup de seu dispositivo, verificar os arquivos de backup, incluindo artefactos do sistema de backup proprietário do iTunes, se aplicável, extrair artefactos de despejos do sistema de arquivos e comparar os dados armazenados com indicadores conhecidos de comprometimento. A versão Android do software, que a Anistia diz ser menos elaborada por causa da maior prevalência de Pegasus em dispositivos iOS, inclui a capacidade de verificar o download de APKs não seguros e de pesquisar backups para mensagens de texto com links para os cerca de 700 domínios NSO conhecidos (a Anistia afirma que esta lista será atualizada continuamente).

Zack Whittaker, contribuidor do TechCrunch, testou o kit de ferramentas num iPhone e relatou que leva cerca de 10 minutos para colocá-lo em funcionamento, mais o tempo que leva para fazer backup do telefone, que é necessário para descriptografar os arquivos armazenados localmente. A varredura em si leva apenas um a dois minutos e lista possíveis sinais de comprometimento nos arquivos de saída.

Os especialistas em tecnologia não deixam explicitamente claro o que pode ser feito se o Pegasus for encontrado num dispositivo. Em um estudo de 2019, o Citizen Lab descobriu que, no caso de dispositivos Android, o malware pode sobreviver a uma redefinição de fábrica em alguns modelos, o que significa que a única maneira de ter certeza de que não está infetado é comprar um novo telefone.

Não está claro se o software do Grupo NSO pode sobreviver a um hard reset em dispositivos iOS, com o suporte técnico da Apple relutante em admitir que sua "arquitetura iOS em sandbox" avançada pode ser comprometida e recomendando atualizações de software para lidar com o problema.

Os especialistas em tecnologia não mencionam isso, mas outra maneira possível de reduzir a exposição ao Pegasus é reduzir a exposição ao mundo digital.

Jornalistas, ativistas, políticos e outras pessoas que se sentem vulneráveis podem fazer isso usando telefones fixos ou simples botões de telefones sem recursos de internet para a Pegasus explorar, participando de reuniões cara a cara em vez de conversas de voz e mensagem de texto, usando analógico ou simples gravadores de voz digital, etc. Se desistir de seu smartphone não é uma opção, há sempre a alternativa de usar um smartphone não Android, não iOS, que pode ser menos vulnerável ao spyware israelense em virtude de sua base de usuários mais limitada.

Nenhuma dessas técnicas pode garantir que quem quer que o esteja monitorizando ilegalmente, não seja capaz de fazê-lo, mas pelo menos será necessário um esforço maior.