Na wyciekłej liście ponad pięćdziesięciu tysięcy numerów telefonów wytypowanych do potencjalnej inwigilacji przez klientów izraelskiej firmy NSO Group nie znajdowały się wyłącznie dane poszukiwanych szefów karteli narkotykowych czy komórek terrorystycznych.
Widniały tam numery prezydenta Francji Emmanuela Macrona, saudyjskich dysydentów, meksykańskich śledczych, węgierskich wydawców i polskich polityków. Cyfrowy oręż, zaprojektowany pod sztandarem bezkompromisowej walki z najcięższą przestępczością, okazał się uniwersalnym wytrychem politycznym.
Aby zrozumieć mechanizmy tego zjawiska, należy przyjrzeć się strukturze, w której wzięło ono swój początek. Na obrzeżach Tel Awiwu, w bazie Camp Glilot, mieści się siedziba Jednostki 8200 (Unit 8200) – największej i najbardziej kluczowej formacji w strukturach Amanu, czyli izraelskiego wywiadu wojskowego.
Ze względu na ciągłe zagrożenie geopolityczne Izrael stworzył unikalny w skali globalnej system rekrutacji. Specjalne algorytmy i wysłannicy jednostki przeczesują szkoły średnie w poszukiwaniu czternasto- i piętnastolatków o ponadprzeciętnych zdolnościach matematycznych, lingwistycznych i logiki programistycznej.
Trafiający tam osiemnastolatkowie, zamiast tradycyjnego drylu, przechodzą ekstensywny kurs inżynierii wstecznej, analizy szyfrów, eksploatacji luk w oprogramowaniu i tworzenia ofensywnego kodu.Po zakończeniu obowiązkowej służby wojskowej absolwenci tej formacji nie zasilają jednak urzędów państwowych.
Zamiast tego zasilają tak zwane „Silicon Wadi” – izraelski ekosystem nowych technologii, stając się założycielami gigantów branży, takich jak Check Point, Palo Alto Networks czy CyberArk.
W 2010 roku trzech absolwentów tej wywiadowczej kuźni – Niv Karmi, Shalev Hulio oraz Omri Lavie – postanawia skomercjalizować swoje unikalne doświadczenia i zakłada spółkę NSO Group (nazwa powstała z pierwszych liter ich imion). Ich celem stało się stworzenie oprogramowania, które do cna odmieni rynek inwigilacji elektronicznej.
Produktem flagowym NSO stał się system Pegasus.
Jego przełom technologiczny polegał na całkowitym odejściu od dotychczasowych, zawodnych metod socjotechnicznych. W starszych generacjach oprogramowania szpiegowskiego powodzenie ataku zależało od błędu człowieka: ofiara musiała kliknąć w spreparowany link w wiadomości SMS, pobrać zainfekowany załącznik e-mail lub zainstalować zmanipulowaną aplikację.
NSO wpompowało dziesiątki milionów dolarów na rynku nieoficjalnym w zakup i rozwój podatności typu Zero-Day (czyli luk w kodzie nieznanych jeszcze samym producentom oprogramowania) oraz technik ich eksploatacji bez udziału użytkownika – tak zwanych ataki Zero-Click.
W nowym modelu operacyjnym atakujący nie potrzebuje od ofiary absolutnie niczego.
Wystarczy, że system wyśle na dany numer telefonu specjalnie skrojony, zniekształcony pakiet danych za pośrednictwem domyślnych usług systemowych, takich jak Apple iMessage, FaceTime czy WhatsApp.
Pakiet ten wywołuje tak zwany przepełnienie bufora (buffer overflow) w pamięci ram ramki procesora, przełamuje zabezpieczenia piaskownicy (sandbox) i po cichu wykonuje ukryty kod.
Urządzenie w kieszeni nie emituje żadnego dźwięku, ekran nie rozbłyskuje, a sam Pegasus po udanej instalacji natychmiast kasuje ślady po przychodzącym połączeniu lub wiadomości z logów systemowych.
Z chwilą udanego przełamania zabezpieczeń smartfon przestaje faktycznie należeć do swojego właściciela. Pegasus uzyskuje uprawnienia korzenia (root) lub administratora, co daje mu nieograniczony wgląd we wszystkie zasoby urządzenia.
System rozwiązuje m.in. problem szyfrowania typu end-to-end, z którego korzystają nowoczesne komunikatory, takie jak Signal, WhatsApp czy Telegram. Pegasus nie musi łamać matematycznych algorytmów szyfrujących w sieci – przechwytuje tekst bezpośrednio z bufora klawiatury podczas jego pisania lub zrzuca obraz z ekranu w momencie odczytu wiadomości przez użytkownika.
Co więcej, operatorzy systemu zyskują możliwość zdalnej aktywacji mikrofonu i kamer w trybie ciągłym, pobierania pełnej historii lokalizacji GPS, czytania wiadomości e-mail oraz pobierania zapisanych w pamięci zdjęć i baz haseł.
Tego rodzaju technologia nie funkcjonowała jednak w próżni rynkowej. Globalny sukces komercyjny NSO był ściśle uzależniony od polityki państwa. Każda transakcja, podpisana umowa czy licencja eksportowa NSO Group wymagała bezwzględnej zgody DECA (Defense Export Controls Agency) – Agencji Kontroli Eksportu Obronnego działającej przy Ministerstwie Obrony Izraela.
Pegasus przestał być zwykłym oprogramowaniem komercyjnym; stał się kluczowym aktywem dyplomatycznym i narzędziem polityki zagranicznej Jerozolimy. Licencje na dostęp do systemu przyznawano, a w niektórych przypadkach cofano, w zależności od celów geopolitycznych państwa – co widać było wyraźnie m.in. w procesie budowania relacji i normalizacji stosunków z państwami Zatoki Perskiej w ramach tak zwanych Porozumień Abrahamowych.
Szybko okazało się jednak, że kontrola nad tym, do czego rządy-klienci wykorzystują uzyskane oręż, jest iluzoryczna lub wręcz celowo pomijana. Systematyczne ujawnianie przez media i organizacje pozarządowe przypadków śledzenia prawników zajmujących się prawami człowieka w Meksyku, dyplomatów w Hiszpanii, krytyków władzy w Arabii Saudyjskiej, czy polityków opozycji w Polsce i na Węgrzech, doprowadziło do międzynarodowego kryzysu.
Reakcja instytucjonalna, choć spóźniona, była gwałtowna. W listopadzie 2021 roku Departament Handlu Stanów Zjednoczonych podjął precedensową decyzję o wpisaniu NSO Group (oraz innej izraelskiej firmy Candiru) na tak zwaną Entity List – czarną listę podmiotów działających wbrew interesom bezpieczeństwa narodowego USA, co odcięło firmę od amerykańskich inwestorów, technologii i rynku.
Niedługo potem giganci technologiczni wytoczyli własne działa: koncern Apple wytoczył NSO pozew sądowy i zaczął wysyłać powiadomienia o zagrożeniu do zidentyfikowanych ofiar, a w systemie iOS zaimplementował rygorystyczny tryb bezpieczeństwa Lockdown Mode, wyłączający w telefonie szereg zaawansowanych funkcji systemowych w celu zablokowania wektorów ataku typu Zero-Click.
Mimo narastających problemów finansowych NSO Group, utraty płynności i zmian na stanowiskach zarządczych, zjawisko stworzone przez ten ekosystem nie zniknęło z rynku. Pokazało ono jedynie pozostałym graczom, że na komercyjny cyberwywiad istnieje nieograniczony wręcz popyt ze strony aparatów państwowych. Miejsce NSO zacząły sprawnie zajmować nowe podmioty i konsorcja, takie jak grupa Intellexa sprzedająca oprogramowanie Predator, działające z terytorium Grecji, Cypru czy Europy Wschodniej i wykorzystujące zbliżone metody operacyjne.
Lekcja płynąca z historii Jednostki 8200, NSO Group i Pegasusa pozostaje zatem twardym faktem: technologia raz wypuszczona z laboratoryjnych murów wojska nie daje się łatwo zamknąć z powrotem. Dopóki istnieje państwowy monopol na stosowanie przymusu i niegasnący apetyt na cyfrową wiedzę o obywatelach, komercyjny rynek ofensywnych cyber-broni będzie się regenerował, stale szukając kolejnych szczelin w urządzeniach, które bezrefleksyjnie nosimy w kieszeniach.
Doradztwo Ubezpieczeniowe i Konsulting Kredytowy Bartosz Drajling
Berlin-Wilmersdorf T: 01511 8666 445 • F: 030 92109905 M: consulting@dcberlin.biz
