Złoty wiek cyfrowej inwigilacji

Po tym jak w wyborach z 2005 roku Ayman Nour rzucił wyzwanie urzędującemu od niemal 30 lat prezydentowi Egiptu Hosniemu Mubarakowi, trafił do więzienia. Po wyjściu na wolność nie zrezygnował z działalności politycznej i głośno zaczął sprzeciwiać się nowemu przywódcy państwa – marszałkowi al-Sisiemu. Z tego powodu został zmuszony do ucieczki z kraju. Zamieszkał w Turcji i wciąż pozostaje zdecydowanym krytykiem władz w Kairze, które nazywa „represyjnym, militarnym reżimem". Choć od jego wyjazdu z Egiptu upłynęło już ponad osiem lat, rząd Sisiego nie zapomniał o Nourze. Pod koniec grudnia 2021 roku eksperci z kanadyjskiej grupy badawczej Citizen Lab ustalili, że jego iPhone został zainfekowany programem szpiegującym Pegasus. Podejrzenia mężczyzny wzbudziło to, że telefon cały czas był bardzo nagrzany. Jakby tego było mało, analitycy odkryli, że urządzenie równolegle zostało zhakowane nowym, nieznanym do tej pory systemem o nazwie Predator. Najprawdopodobniej za oboma atakami stoją egipskie służby. Rynek komercyjnego oprogramowania szpiegującego ma do zaoferowania więcej zaawansowanych narzędzi, niż uważali dotychczas eksperci.

Od Macrona do Giertycha

Od kiedy w 2016 roku analitycy Citizen Lab po raz pierwszy napisali o firmie NSO Group, założonej przez byłych pracowników elitarnej jednostki izraelskiego wywiadu „8200", oraz o stworzonym przez nią systemie Pegasus, temat ten co jakiś czas powraca na czołówki światowych mediów. Najczęściej dzieje się to przy okazji doniesień o tym, że służby krajów, które kupiły program oficjalnie przeznaczony do zwalczania terroryzmu, wykorzystują go do szpiegowania przeciwników politycznych. Tak było np. w przypadku znanego obrońcy praw człowieka ze Zjednoczonych Emiratów Arabskich (ZEA) Ahmeda Mansoora. Citizen Lab ustalił, że jego telefon został zainfekowany Pegasusem. W 2017 roku system ten został użyty przeciwko kilkunastu meksykańskim dziennikarzom piszącym o aferze korupcyjnej w rządzie. Z kolei w Arabii Saudyjskiej tamtejsze władze wykorzystały program, by włamać się do telefonów ponad 30 dziennikarzy telewizji Al-Dżazira.

W lipcu 2021 roku konsorcjum 17 redakcji, w tym „Guardiana", „Le Monde" i „Washington Post", opublikowało wyniki swojego śledztwa dotyczącego Pegasusa. Dziennikarze przeanalizowali ponad 50 tys. numerów, które mogły być szpiegowane przez klientów NSO Group. Udało im się zidentyfikować 1 tys. osób z 50 krajów. Wśród nich trzech prezydentów, w tym Emmanuel Macron, dziesięciu ministrów, król Maroka oraz 189 pracowników mediów i 85 obrońców praw człowieka. Przebadano 67 telefonów. W 37 znaleziono Pegasusa. Oprogramowanie szpiegujące miano wykorzystać m.in. wobec narzeczonej zamordowanego przez saudyjskie służby Dżamala Chaszodżiego. Podsłuchiwani mieli być też węgierscy dziennikarze niezależnego portalu Direkt36. Ustalono, że z systemu NSO Group korzystały rządy co najmniej dziesięciu państw, w tym Azerbejdżanu, Kazachstanu, Meksyku, Arabii Saudyjskiej, Węgier i ZEA. Te ustalenia przeczą zapewnieniom izraelskiej firmy o tym, że nie świadczy usług krajom autorytarnym.

W grudniu media pisały, że Pegasusa znaleziono w telefonach 11 amerykańskich dyplomatów pracujących w Ugandzie. W tym samym miesiącu Citizen Lab poinformował, że oprogramowanie wykorzystano do szpiegowania mecenasa Romana Giertycha, prokurator Ewy Wrzosek oraz polityka Koalicji Obywatelskiej Krzysztofa Brejzy. Analitycy nie podali, kto nad Wisłą posługiwał się programem, ale już w 2018 roku TVN 24 donosił, że zakupiło go CBA.

Telefon każdej z wymienionych wyżej osób mógł zostać zainfekowany na trzy sposoby. Pierwszy sposób opiera się po prostu na wykradzeniu przez służby urządzenia i zainstalowania na nim Pegasusa. Druga metoda nie wymaga fizycznego kontaktu ze smartfonem. – Najczęściej to wiadomość SMS. Jej treść ma skłonić ofiarę do kliknięcia w złośliwy link. Dzięki temu dochodzi do infekcji – mówi „Plusowi Minusowi" Claudio Guarnieri, dyrektor należącego do Amnesty International Security Lab, które badało Pegasusa. Trzeci, najbardziej zaawansowany, sposób jest nazywany „zero-click". – NSO Group zapewnia ataki na istniejące nieznane luki w oprogramowaniu iOS oraz Android, które pozwalają programowi szpiegującemu na zainfekowanie urządzenia zdalnie, bez żadnej interakcji ze strony jego użytkownika – tłumaczy Juan Andrés Guerrero Saade, ekspert ds. cyberbezpieczeństwa w firmie SentinelOne oraz wykładowca na Johns Hopkins University.

W 2019 roku WhatsApp poinformował, że Pegasus infekował telefony, korzystając z ich komunikatora. Wysyłając niewidoczne dla odbiorcy powiadomienie, program instalował się na urządzeniach. Następnie zacierał ślady po aktywacji. Dwa lata później analitycy ustalili, że Pegasus jest w stanie „dostać się" do najnowszych wersji oprogramowania iPhone'ów, korzystając z luki w aplikacji iMessage. Gdy już dojdzie do infekcji telefonu, operator Pegasusa zyskuje nad nim pełną kontrolę. – Ma dostęp do wszystkiego, do czego ma dostęp właściciel smartfona. Widzi to, co jest na ekranie, i może to pobrać. Dzięki niemu można przeglądać np.: połączenia, SMS-y oraz dane przechowywane w chmurze, w tym całej poczty, Dropboxa czy Facebooka. Można powiedzieć, że infekcja poszerza też możliwości telefonu. Program pozwala na uruchomienie kamery i mikrofonu bez wiedzy ofiary. Może nagrywać i rejestrować wszystko dookoła – zauważa w rozmowie z „Plusem Minusem" Adam Haertle, analityk ds. cyberbezpieczeństwa z portalu zaufanatrzeciastrona.pl. Ponadto, dzięki programowi można śledzić posiadacza telefonu poprzez GPS. Tym samym Pegasus zmienia zwykły smartfon w całodobowe narzędzie szpiegujące.

Czytaj więcej

Plus Minus

Peppa. Najbardziej wpływowa świnka świata

Nad świnką Peppą podobnie jak kiedyś nad imperium brytyjskim słońce nie zachodzi nigdy. Kreskówka dotarła w niemal każdy zakątek globu, przynosząc miliardowe zyski i promując Zjednoczone Królestwo miejscami lepiej niż Beatlesi czy Manchester United.

Nowe zagrożenie

Klejne doniesienia o skandalach związanych z Pegasusem sprowadziły na NSO Group kłopoty. Firma próbowała ratować reputację, zakazując sprzedaży oprogramowania do 65 krajów, w tym Polski i Węgier, ale w listopadzie Waszyngton umieścił ją na czarnej liście handlowej, ograniczając tym samym dostęp do amerykańskich technologii. Stany Zjednoczone oskarżyły NSO Group o dostarczanie oprogramowania służącego „złym celom". Firmę pozwał też Apple, zarzucając jej, że jej oprogramowanie wykorzystywano do śledzenia klientów koncernu. Dwa lata wcześniej w tej samej sprawie do sądu poszedł Facebook. Jak pisał „Financial Times", kroki te doprowadziły izraelską firmę na skraj bankructwa. Gazeta twierdzi, że właściciele NSO Group rozważają jej sprzedaż dwóm amerykańskim funduszom inwestycyjnym, a dział odpowiedzialny za system Pegasus zostałby zamknięty. Technologia miałaby przejść pod ścisłą kontrolę służb i służyć wyłącznie celom obronnym. Poza problemami prawno-finansowymi pozycję przedsiębiorstwa osłabia też fakt, że eksperci ds. cyberbezpieczeństwa zdążyli już dowiedzieć się, jak program działa oraz jak go wykrywać.

Jak tylko media zaczęły informować o kłopotach NSO Group, na horyzoncie pojawiło się inne zagrożenie. O nowym komercyjnym oprogramowaniu ofensywnym Predator, znalezionym po raz pierwszy w telefonie wspomnianego już Aymana Noura, wciąż niewiele wiadomo. Ekspertom udało się jednak ustalić, że działa na podobnej zasadzie co Pegasus, choć nie jest jeszcze tak zaawansowany. Do infekcji dochodzi po tym, jak właściciel smartfona kliknie w link przesłany za pomocą SMS-a albo jednego z popularnych komunikatorów. Instalacja wirusa następuje bez wiedzy ofiary. Sam Nour otrzymał na WhatsAppie informację od „dr. Rania Shhaba", po otwarciu której zaatakowano telefon drugiego Egipcjanina, który zgłosił się do Citizen Lab. Dziennikarz, który chce pozostać anonimowy, dostał link pochodzący rzekomo od jednej z arabskich gazet. – Nie zauważyliśmy, by Predator używał metody „zero-click". Łatwiej go wykryć, bo wymaga interakcji ze strony ofiary. Różni się także tym, ile zostawia po sobie śladów. Pegasus jest usuwany wraz z restartem telefonu, ponieważ chodzi o to, by jak najkrócej był na urządzeniu. Działa jak uniwersalny klucz otwierający wszystkie zamki, więc w razie potrzeby złodziej może w każdej chwili wrócić i ponowie otworzyć sobie „drzwi". Predator jest mniej zaawansowany, dlatego jego operator stara się pozostawić go w telefonie dłużej – mówi „Plusowi Minusowi" John Scott-Railton, starszy analityk w Citizen Lab. W tym celu program szpiegujący wykorzystuje jedną z funkcji systemu iOS. – Chodzi o możliwość ustawiania skryptu, który automatyzuje telefon i upraszcza pewne jego działania. Predator potrafi niezauważenie uruchamiać się za każdym razem, gdy automatycznie uruchamiana jest jakaś aplikacja – wyjaśnia Haertle. Eksperci ustalili, że program jest w stanie infekować telefony z najnowszą wersją oprogramowania iOS oraz Android.

Według Citizen Lab za stworzenie nieznanego dotychczas oprogramowania odpowiada mało znana firma Cytrox, założona w 2017 roku w Macedonii Północnej. Dziennikarze Portalu Balkan Insight ustalili, że stosunkowo szybko powstały jej oddziały na Węgrzech i w Izraelu. Ten pierwszy ma być odpowiedzialny za opracowywanie programu, a drugi – za jego sprzedaż. Firmę miało założyć pięciu Izraelczyków i Węgier. Jednym z nich jest Tal Dilian, były dowódca izraelskiej jednostki specjalnej „81". Stoi on także na czele Intellaxa, czyli stowarzyszenia zrzeszającego sprzedawców oprogramowania szpiegowskiego, konkurentów NSO Group.

Co najmniej dwa podmioty działające w ramach Intellaxa zostały oskarżone o współudział w torturach. Chodziło o sprzedaż oprogramowania szpiegującego władzom Libii i Egiptu. Więcej światła na działanie przedsiębiorstwa rzucił Facebook, który w połowie grudnia ogłosił, że usunął ze swoich mediów społecznościowych ponad 300 kont powiązanych z twórcami Predatora. Były one wykorzystywane do rozpoznawania potencjalnych ofiar oraz do wysyłania im zainfekowanych linków. W odróżnieniu od NSO Group wydaje się, że Cytrox nawet nie udaje, że sprzedaje swoje usługi wyłącznie państwom praworządnym. Na liście jego klientów znajdują się m.in.: Armenia, Egipt, Indonezja, Madagaskar, Serbia, Oman, Arabia Saudyjska, Kolumbia, Wietnam, Filipiny oraz Wybrzeże Kości Słoniowej.

Czytaj więcej

Plus Minus

Jeśli Putin zniszczy Memoriał

Kreml postanowił zniszczyć stowarzyszenie Memoriał. Jeśli do tego dojdzie, zniknie jedna z ostatnich rosyjskich organizacji broniących praw człowieka i przypominających o stalinowskich zbrodniach, a władzy jeszcze łatwiej będzie narzucać swoją interpretację historii.

Duży wybór, wielu chętnych

Odkrycie programu działającego na podobnych zasadach co Pegasus, który jest jednym z najbardziej zaawansowanych technologicznie ze znanych komercyjnych systemów szpiegujących, dowodzi, że rynek firm oferujących takie oprogramowanie stale się rozwija i skrywa jeszcze wiele tajemnic. – Rośnie co najmniej od ostatnich 15 lat. Na świecie są dziesiątki przedsiębiorstw, które na nim działają. O większości z nich nawet nie słyszeliśmy. Oprogramowanie szpiegujące stało się de facto standardowym narzędziem nie tylko dla wojska czy agencji wywiadowczych, ale także dla organów ścigania większości państw. Jest to przemysł, który rozwija się bez żadnego ograniczenia – zauważa Guarnieri.

Wszystko wskazuje na to, że rywalizacja między dostawcami technologii szpiegujących tylko się zaostrzy. – W tej chwili mamy czterech czy pięciu głównych dostawców, ale w przyszłości będzie ich więcej. Skoro są klienci, to jest i podaż. Mocarstwa mają swoje własne pegasusy, ale jest wiele krajów, które mają pieniądze, ale nie mają odpowiedniego know-how – podkreśla Haertle. Dobrym przykładem jest tutaj Arabia Saudyjska. Citizen Lab ujawnił, że Rijad w czerwcu 2021 roku stracił dostęp do Pegasusa, a już miesiąc później używał Predatora. – Rynek rozrasta się w niepokojący sposób. Wiele podmiotów zaczynało ze szlachetnym zamiarem pomocy organom ścigania. Niestety, z czasem niektóre stały się narzędziami w rękach autorytarnych reżimów – mówi Guerrero Saade.

Wśród znanych i opisanych przez ekspertów firm sprzedających cybernarzędzia do inwigilacji jest m.in. pochodząca z Włoch grupa Hacking Team, obecnie przemianowana na Memento Labs. Oferuje ona swoim klientom możliwość niewidocznego dla ofiar zainfekowania systemów Windows, Linux, Android, iOS czy Blackberry oraz zbieranie danych. Według ustaleń dziennikarzy „Guardiana" meksykańskie kartele korzystają z jej technologii, by szpiegować dziennikarzy śledczych. W 2017 roku Citizen Lab ustalił, że służby specjalne z Etiopii, Tajlandii, Uzbekistanu oraz Rwandy inwigilowały obrońców praw człowieka za pomocą oprogramowania należącego do izraelskiej firmy Cyberbit. Do infekcji urządzeń dochodziło po tym, jak ofiary kliknęły w link przesłany im w e-mailu. Odsyłał on do złośliwej strony podszywającej się pod portal z filmami online.

W połowie zeszłego roku badacze z Kanady odkryli kolejnego izraelskiego dostawcę o nazwie Candiru. Jego pracownicy, podobnie jak ci z NSO Group, wywodzą się z jednostki „8200". Grupa zapewnia, że jej technologia jest niemożliwa do wykrycia oraz że pozwala na dostęp do sprzętów Apple'a oraz urządzeń z systemem Android. Atak następuje, gdy cel kliknie w zainfekowany link. Operator oprogramowania może wówczas m.in. wykraść dane, przejąć hasła oraz włączyć kamerę i mikrofon. Z usług Candiru korzystają: Uzbekistan, Singapur, Katar oraz Arabia Saudyjska. Wśród klientów mają być także państwa z Europy oraz Ameryki Łacińskiej. Technologią izraelskiej firmy Cellebrite posługiwały się rosyjskie służby, by łamać zabezpieczenia i kopiować dane telefonów współpracowników Aleksieja Nawalnego. Z tego oprogramowania korzysta również reżim Aleksandra Łukaszenki. Wśród firm, którym w grudniu Facebook usunął tysiące kont, oprócz Cytroxa znalazły się m.in.: pochodząca z Indii grupa BellTrox, izraelski Black Cube, którego oprogramowania używał Harvey Weinstein do szpiegowania zeznających przeciwko niemu kobiet, oraz niewymienione z nazwy chińskie przedsiębiorstwo inwigilujące Ujgurów.

Czytaj więcej

Plus Minus

Hipokryzja Izraela. Czyje prawo własności jest ważniejsze?

Tel Awiw, zarzucając Polsce, że zamyka drogę do zwrotu mienia żydowskiego, ściągnął na siebie oskarżenia o hipokryzję. Część izraelskich dziennikarzy przypomina, że Izrael sam od lat odmawia tysiącom Palestyńczyków restytucji ich majątków.