Pegasus ist eine Spyware der NSO Group, also eine Überwachungssoftware für mobile Endgeräte unter iOS und Android, die auf Nachrichten, Mikrofon, Kamera und Standortdaten eines infizierten Geräts zugreifen kann.
Auf einen Blick
Berichten zufolge verkauft die NSO Group Pegasus an Behörden, Geheimdienste und Militär; als Ausgespähte dokumentiert wurden Regierungsvertreter, Oppositionspolitiker, Journalisten und Menschenrechtsaktivisten.
Ob das Opfer etwas tun muss, hängt vom Infektionsweg ab: Ein Zero-Click-Exploit braucht keine Interaktion, ein präparierter SMS-Link setzte nach den Berichten einen Klick voraus.
MITRE ATT&CK führt Pegasus for iOS und Pegasus for Android als getrennte Einträge.
Was ist Pegasus?
Pegasus dient dazu, ein Mobilgerät zu kompromittieren und danach Kontakte, Nachrichten, Mikrofon und Kamera für die Betreiber der Spyware zugänglich zu machen. Laut MITRE ATT&CK liest Pegasus for iOS das Adressbuch aus und greift auf sensible Daten in Dateien zu, etwa auf Skype-Anrufe in den Datenbankdateien von Skype. Pegasus for Android greift laut MITRE ATT&CK ebenfalls auf sensible Daten in Dateien zu, etwa auf Nachrichten, die WhatsApp, Facebook und Twitter speichern, und kann Fotos mit der Gerätekamera aufnehmen. Das Implantat, das in den untersuchten Angriffen auf Journalisten eingesetzt wurde, kann zudem Audio über das Mikrofon aufzeichnen, einschließlich verschlüsselter Telefongespräche und Umgebungsgeräusche, den Gerätestandort verfolgen und gespeicherte Zugangsdaten einschließlich Passwörtern auslesen.
Ist das mobile Endgerät eines Mitarbeiters mit Pegasus kompromittiert, sind Nachrichten, Mikrofon, Kamera und Standortdaten für den Angreifer zugänglich, auch bei dienstlicher Nutzung für einen Versicherer. Das betrifft Inhalte, die auf dem Gerät gespeichert oder über dessen Sensoren erfasst werden, also auch dienstliche Kommunikation. Dass sich Angriffe auf Mitarbeiter eines Versicherers richten, folgt aus den dokumentierten Fällen nicht; relevant ist der Mechanismus eines kompromittierten Diensthandys.
Wie funktioniert Pegasus?
Einem forensischen Bericht zufolge gelangte Pegasus früher durch SMS mit Links zu Webseiten auf Geräte, später über eingeschleuste Netzwerkpakete und schließlich, in der iOS-Version 14.6, über iMessage-Nachrichten. Laut MITRE ATT&CK wurde Pegasus for iOS über eine Webseite verteilt, die Schwachstellen im Browser Safari ausnutzte, und über schädliche Links in SMS-Nachrichten. Bei einem Zero-Click-Exploit muss die betroffene Person nicht einmal auf einen Link klicken, damit die Infektion gelingt. Dieselbe iOS-Variante hat laut MITRE ATT&CK Zero-Day-Exploits in iMessage für den ersten Zugriff genutzt.
Nach dem ersten Zugriff nutzte die in MITRE ATT&CK beschriebene iOS-Variante Schwachstellen in iOS, um Rechte auszuweiten, und veränderte die Systempartition, um Persistenz zu erreichen. In einer dokumentierten Angriffsserie auf Journalisten kam ein Zero-Click-Exploit in iMessage zum Einsatz, der eine Zero-Day-Schwachstelle in mindestens iOS 13.5.1 ausnutzte, wodurch iPhone-11-Geräte gehackt werden konnten. Laut MITRE ATT&CK wurde Pegasus for iOS beworben und verkauft, um besonders wertvolle Ziele ins Visier zu nehmen, und wird mit der NSO Group in Verbindung gebracht.
Woran erkenne ich Pegasus?
| Signal | Woran erkennbar |
|---|---|
| Forensische Spuren auf dem Gerät | In einem forensischen Bericht lag der Fokus der Analyse auf iOS-Geräten, weil bei Android nach einem Neustart nur wenige forensische Spuren zu finden seien |
| Teilweise verwischte Spuren in Logs | In einem forensischen Bericht beschriebenes Muster: Spuren in Logs waren verwischt, aber nicht gründlich |
| Auffälligkeiten in Verkehrsmetadaten | In den untersuchten Angriffen auf Journalisten identifizierten Forscher Angriffe, indem sie über eine installierte VPN-Anwendung Verkehrsmetadaten überwachten |
Schutz im Ernstfall
Vorbeugen
- Betriebssystem-Updates auf dienstlichen Mobilgeräten zeitnah einspielen; in einer dokumentierten Angriffsserie schien der eingesetzte Exploit unter iOS 14 nicht zu funktionieren, für iPhones mit iOS 16.6 dokumentiert MITRE ATT&CK dagegen eine Kompromittierung durch Pegasus for iOS ohne Nutzerinteraktion
- iMessage auf dienstlichen iOS-Geräten deaktivieren, wenn es nicht benötigt wird; so lautete die Empfehlung in der Berichterstattung über die in der iOS-Version 14.6 ausgenutzte iMessage-Lücke
- Per Richtlinie festlegen, dass Mitarbeiter vertrauliche Daten nur in dem Umfang auf dem Mobilgerät halten, wie es für die Arbeit nötig ist
Was tun im Ernstfall
- Das betroffene Gerät vom Netzwerk trennen und nicht neu starten: Einem forensischen Bericht zufolge sind bei Android nach einem Neustart nur wenige forensische Spuren zu finden
- Den Verdacht sofort der internen IT-Sicherheit melden, bevor Mitarbeiter das Gerät selbst zurücksetzen oder bereinigen
- Zugangsdaten, die auf dem Gerät verwendet wurden, umgehend und von einem nicht betroffenen Gerät aus ändern
- Das Gerät danach über die IT-Sicherheit forensisch analysieren lassen
Beispiele aus der Praxis
- In einer dokumentierten Angriffsserie wurden laut einem Forschungsbericht 36 private Telefone von Journalisten, Produzenten, Moderatoren und Führungskräften eines Nachrichtensenders mit Pegasus infiziert.
- Bei einem Mitglied des Europaparlaments wurde nach einer forensischen Analyse seines iPhones berichtet, das Gerät sei zuerst mit einem Zero-Click-Exploit infiziert worden, ohne dass er auf einen irreführenden Link klicken musste.
- Auf dem iPhone eines in Beirut arbeitenden US-Journalisten fanden sich laut forensischer Analyse Spuren von Pegasus; er hatte den Berichten zufolge nicht einmal auf einen bösartigen Link geklickt.
- Ein Mitarbeiter eines Versicherers nutzt sein Smartphone dienstlich; ist es mit Pegasus kompromittiert, sind dessen Nachrichten, Mikrofon, Kamera und Standortdaten für den Angreifer zugänglich.
Häufiger Irrtum
Mythos „Pegasus kann ein iPhone nur infizieren, wenn der Nutzer auf einen Link klickt oder eine Nachricht öffnet.“
Richtig Für iPhones mit iOS 16.6 dokumentiert MITRE ATT&CK, dass Pegasus for iOS sie ohne Nutzerinteraktion kompromittieren kann.
