Raport CloudSEK podkreśla wzrost liczby fałszywego oprogramowania szpiegującego Pegasus po powiadomieniach Apple o zagrożeniach

CloudSEK, firma zajmująca się bezpieczeństwem cybernetycznym, przeprowadziła dochodzenie po tym, jak w zeszłym miesiącu powiadomienia Apple o zagrożeniach zostały wysłane do użytkowników iPhone’ów w 92 krajach, i odkryła, że ​​wkrótce po opublikowaniu poradnika w głębokiej i ciemnej sieci pojawiło się fałszywe oprogramowanie szpiegujące Pegasus. Warto zauważyć, że Apple w związku ze swoim ostrzeżeniem nie wymienił żadnych podmiotów zagrażających, ale jako przykład podał oprogramowanie szpiegowskie Pegasus z grupy NSO. CloudSEK uważa, że ​​mogło to doprowadzić do tego, że oszuści sprzedawali fałszywe złośliwe oprogramowanie jako kod źródłowy Pegasusa.

Szczegóły dochodzenia CloudSEK

Po Apple’u ostrzeżenie w kwietniu badacze CloudSEK zaczęli zagłębiać się w głęboką i ciemną sieć, a także w sieć powierzchniową, aby sprawdzić, czy można kupić autentyczne oprogramowanie szpiegujące Pegasus lub czy oszuści używali jego nazwy do oszukiwania potencjalnych nabywców.

W raport zatytułowana „Behind the Advisory: Decoding Apple’s Alert and Spyware Dilemma” firma zajmująca się cyberbezpieczeństwem oświadczyła, że ​​często korzysta z platform Internet Relay Chat (IRC). Po przeanalizowaniu około 25 000 postów na Telegramie badacze odkryli, że znaczna część postów sugerowała sprzedaż autentycznego kodu źródłowego Pegasusa.

Dochodzenie CloudSEK w Telegramie
Źródło zdjęcia: CloudSEK

Te posty z alertami sprzedaży miały ten sam wzór. Aby przyciągnąć kupujących, używano słów takich jak NSO Tools i Pegasus. W wyniku interakcji z ponad 150 potencjalnymi sprzedawcami takiego oprogramowania szpiegującego „Pegasus” w raporcie stwierdzono, że próbki obejmowały kod źródłowy, demonstracje wideo na żywo dotyczące korzystania ze złośliwego oprogramowania oraz migawki kodu źródłowego. Wszystkie miały nazwy sugerujące Pegaza.

Badacze znaleźli także sześć unikalnych próbek o nazwie Pegasus HNVC (Hidden Virtual Network Computing) opublikowanych w głębokim internecie między majem 2022 r. a styczniem 2024 r., co sugeruje rozprzestrzenianie się tych próbek wśród cyberprzestępców. Podobne przypadki znaleziono także w sieci powierzchniowej.

Ustalenia CloudSEK

Ostatecznie grupa ds. cyberbezpieczeństwa uzyskała z różnych źródeł 15 próbek i ponad 30 wskaźników. Ustaliło jednak, że „prawie wszyscy z nich tworzyli własne oszukańcze, nieskuteczne narzędzia i skrypty, próbując dystrybuować je pod nazwą Pegasus, aby wykorzystać nazwę Pegasus i NSO Group w celu uzyskania znacznych zysków finansowych”.

Uważa się, że grupy złych aktorów wykorzystały sensację wywołaną doradztwem Apple i wieloma doniesieniami prasowymi wspominającymi nazwę Pegasus i wykorzystały ją do sprzedaży samodzielnie stworzonych losowych próbek oznaczonych jako Pegasus. Chociaż tego typu programy szpiegowskie nadal mogą być nikczemne i wyrządzać szkody ofiarom, prawdopodobnie nie są powiązane z Grupą NSO ani Pegasusem.

W raporcie wezwano do krytycznej analizy po incydencie ataku zagrażającego w celu prawidłowego przypisania aktorów zagrażających, ponieważ może to zarówno pomóc firmom zajmującym się cyberbezpieczeństwem w identyfikowaniu i sugerowaniu wzmocnień, jak i zagwarantuje, że wśród ludzi nie dojdzie do paniki.