В современном мире угроза целевой слежки через мобильные устройства стала реальностью для журналистов‚ активистов‚ политиков и бизнесменов․ Главным инструментом такой слежки является шпионское ПО Pegasus‚ разработанное израильской компанией NSO Group․ Данная статья подробно описывает‚ что представляет собой эта угроза‚ как обнаружить следы компрометации и где заказать профессиональную судебную экспертизу․

Что такое Pegasus и NSO Group?

NSO Group, это израильская кибербезопасность компания‚ разрабатывающая инструменты для «правоприменительных органов и спецслужб»․ Их флагманский продукт, Pegasus — является мощным модульным шпионским ПО‚ способным скрытно проникать на смартфоны под управлением iOS и Android․

• Векторы атаки: Используются «нулевые уязвимости» (zero-day)‚ не требующие действий пользователя (zero-click)‚ а также фишинговые ссылки в SMS‚ iMessage‚ WhatsApp и других мессенджерах․
• Возможности: Полный доступ к переписке‚ фото‚ видео‚ геолокации‚ микрофону‚ камере‚ истории браузера и паролям․
• Цели: Официально — террористы и преступники․ На практике (по данным расследований Citizen Lab‚ Amnesty International‚ OCCRP) — журналисты‚ оппозиционеры‚ юристы и главы государств․

Признаки компрометации: на что обратить внимание

Обнаружение Pegasus крайне сложно из-за использования уязвимостей в ядре ОС и механизмов самоуничтожения․ Однако эксперты выделяют косвенные признаки:

1. Аномальная активность сети: Неожиданные исходящие соединения в нерабочее время‚ высокий расход трафика․
2. Странные сообщения: Получение SMS или пуш-уведомлений с нечитаемыми символами‚ ссылками или пустым содержимым (вектор доставки эксплойта)․
3. Проблемы с производительностью: Быстрый разряд аккумулятора‚ перегрев в режиме ожидания‚ случайные перезагрузки․
4. Наличие вредоносных ссылок в логах: Как отмечают эксперты‚ команда аналитиков «сначала смотрит на наиболее очевидный признак — наличие вредоносных ссылок в текстовых сообщениях»․

Инструменты для самостоятельной проверки (DIY)

Правозащитные организации выпустили открытые утилиты для первичного анализа․ Важно понимать: отрицательный результат не гарантирует отсутствие заражения‚ так как Pegasus умеет стирать следы․

Mobile Verification Toolkit (MVT), Amnesty International

Золотой стандарт открытого анализа․ Инструмент работает на компьютере (Linux/macOS/Windows) и анализирует полную резервную копию устройства․

• Принцип работы: «MVT получает копию всех данных‚ хранящихся на мобильном устройстве‚ изучает их в компьютерной среде‚ а затем сообщает о возможном присутствии Pegasus»․
• Что проверяет: Индикаторы компрометации (IOC)‚ подозрительные процессы‚ нестандартные профили конфигурации‚ следы эксплойтов в логах системы․
• Совместимость: iOS (через бэкап iTunes/Finder) и Android (через ADB backup)․

iMazing (для iOS/iPadOS)

Коммерческая утилита с бесплатной версией‚ позволяющая сделать глубокий бэкап и проанализировать его на предмет подозрительных артефактов (профили MDM‚ незнакомые сертификаты‚ аномалии в файловой системе)․

Утилиты от антивирусных вендоров (Kaspersky‚ SpyHunter и др․)

Сканеры могут обнаружить известные варианты вредоносного ПО‚ но против свежих версий Pegasus (использующих zero-day) они часто бессильны․ Как отмечается в блоге Касперского: «Обнаружить следы заражения продвинутыми шпионскими программами типа Pegasus очень сложно․ А функции безопасности современных ОС делают эту задачу еще труднее»․

Профессиональная судебная компьютерно-техническая экспертиза

Если ставки высоки (судебные иски‚ угроза жизни‚ корпоративная безопасность)‚ самостоятельных инструментов недостаточно․ Необходима судебная компьютерно-техническая экспертиза мобильного устройства․

Кто проводит экспертизу в РФ?

• Государственные учреждения: Федеральное бюджетное учреждение «Федерация судебных экспертов» (ФБУ «ФСЭ»)‚ её региональные подразделения (например‚ Подразделение компьютерной криминалистики)․
• Негосударственные экспертные организации: Аккредитованные в Минюсте РФ НКО‚ имеющие лицензию ФСБ на работу с гостайной (если устройство засекречено) или просто специализирующиеся на цифровой криминалистике (Digital Forensics)․
• Частные лаборатории: Компании‚ предоставляющие услуги DFIR (Digital Forensics & Incident Response)․

Этапы профессиональной экспертизы

1. Изъятие и оформление: Протокол осмотра‚ пломбирование‚ описание состояния корпуса/экрана․
2. Создание форензического образа (Forensic Image): Побитовое копирование памяти (Checkm8/Checkra1n для iOS‚ EDL Mode для Android) для анализа без изменения оригинала․ Важно: простой бэкап iTunes не подходит для суда‚ так как не содержит удаленных данных и системных разделов․
3. Анализ артефактов: Парсинг баз данных SQLite‚ анализ логов syslog‚ powerlog‚ networkd‚ поиск IOC (хэши‚ домены C2‚ имена процессов) по базам Citizen Lab и Amnesty Tech․
4. Проверка на джейлбрейк/рут: Pegasus часто требует повышения привилегий․ Эксперты ищут следы эксплойтов ядра․
5. Хронология событий: Восстановление таймлайна заражения: дата первого контакта с C2‚ даты эксфильтрации данных․
6. Формирование заключения: Документ‚ имеющий юридическую силу в суде․

Известные случаи компрометации (по открытым данным)

Расследования консорциума Pegasus Project (Forbidden Stories‚ Amnesty‚ OCCRP) и лаборатории Citizen Lab выявили заражение у десятков людей; Среди подтвержденных жертв (имена частично скрыты в соответствии с политикой конфиденциальности):

• Журналисты: Ерл* (Рига)‚ Павл (Рига)‚ Епиф* (Рига)․
• Активисты/Политики: Радин (Варшава)‚ Санн (Варшава)․
• Гражданин Беларуси (Вильнюс)․
• Российский журналист (Вильнюс), имя не разглашалось по просьбе жертвы․

Данные актуальны на момент публикаций 2021–2024 гг․ Ситуация динамично меняется․

Рекомендации по защите (Hardening)

Полной гарантии защиты от zero-click эксплойтов не существует‚ но можно существенно повысить стоимость атаки:

• Режим Lockdown (iOS 16+ / macOS Ventura+): Блокирует большинство векторов атак (вложения‚ веб-шрифты‚ FaceTime от незнакомцев‚ профили MDM)․ Настоятельно рекомендуется для групп риска․
• Регулярные обновления: Устанавливайте патчи безопасности в день выхода․ NSO Group быстро сжигает уязвимости после публикации патчей Apple/Google․
• Перезагрузка ежедневно: Многие цепочки эксплойтов неперсистентны (не выживают после перезагрузки)․ Это заставляет атакующих повторно эксплуатировать уязвимость․
• Отказ от SMS/обычных звонков: Используйте Signal/Threema/Session с включенным PIN-кодом регистрации․
• Вторичное устройство («Телефон-приманка»): Как упомянуто в блоге Касперского‚ для высокорисковых операций используйте отдельное устройство‚ не связанное с личностью․
• Проверка профилей конфигурации (iOS): Настройки -> Основные -> VPN и управление устройством․ Не должно быть левых профилей․

Что делать‚ если обнаружены следы Pegasus?

1. Не паникуйте и не перепрошивайте телефон сразу — вы уничтожите доказательства․
2. Изолируйте устройство: Включите режим полета‚ извлеките SIM-карту․ Не подключайте к Wi-Fi․
3. Сделайте форензический образ (если есть навыки) или срочно отнесите в экспертную лабораторию․
4. Смените пароли ко всем критичным аккаунтам с чистого устройства․
5. Обратитесь в правоохранительные органы (заявление о несанкционированном доступе к компьютерной информации ст․ 272 УК РФ) и/или в специализированные НКО (Access Now‚ Citizen Lab — для технической помощи)․

Экспертиза на наличие ПО NSO Group (Pegasus) — это сложный‚ ресурсоемкий процесс‚ требующий глубоких знаний в области мобильной криминалистики‚ реверс-инжиниринга и актуальных баз IOC․ Самостоятельные инструменты (MVT‚ iMazing) подходят для первичного скрининга‚ но только профессиональная судебная экспертиза дает результат‚ пригодный для судебных разбираний и официальных расследований․

Актуально на: ․ Угроза эволюционирует; следите за публикациями Citizen Lab‚ Amnesty Tech‚ Project Zero (Google) и бюллетенями безопасности Apple/Google․

Дисклеймер: Статья носит информационный характер․ Упоминание конкретных фамилий в контексте публичных расследований выполнено в образовательных целях․ Контактные данные экспертных учреждений (адреса‚ телефоны) не публикуются в открытую по соображениям безопасности; для заказа экспертизы обращайтесь на официальные сайты ФБУ «ФСЭ» или аккредитованных НКО․