I ricercatori del Project Zero di Google hanno approfondito gli studi su Pegasus, definendo questo spyware “uno degli exploit tecnicamente più sofisticati che abbiamo mai visto“.
NSO Group ha realizzato lo spyware chiamato Pegasus, che viene venduto ad agenzie governative e forze dell’ordine. La società acquista le cosiddette vulnerabilità zero-day (quelle che sono sconosciute ad Apple) dagli hacker e le sfrutta per realizzare exploit zero-click, in cui non è richiesta alcuna interazione dell’utente per poter hackerare il suo smartphone. Ad esempio, su iPhone bastava la semplice ricezione di un messaggio particolare su iMessage per compromettere ed esporre i dati personali salvati sul dispositivo.
Il Project Zero di Google ha esaminato nel dettaglio Pegasus, confermano che questo spyware è in grado di accedere al microfono, alla fotocamera e ad altri dati sensibili degli utenti iPhone. Mentre le versioni precedenti dello spyware richiedevano agli utenti di fare clic su un collegamento inviato tramite iMessage, la versione più recente è un exploit a zero clic. Ciò significa che gli utenti colpiti non devono effettuare alcun clic o interagire con lo spyware affinché sia efficace.
In un’intervista rilasciata a Wired, Ian Beer e Samuel Gross di Project Zeros hanno spiegato quanto segue:
Non abbiamo mai visto un exploit in the wild realizzare una capacità equivalente di pericoli da un punto di partenza così limitato. Nessuna interazione possibile con il server dell’attaccante, nessun JavaScript o motore di scripting simile caricato. Sulla base delle nostre ricerche e dei nostri risultati, riteniamo che questo sia uno degli exploit tecnicamente più sofisticati che abbiamo mai visto, dimostrando ulteriormente che le capacità fornite da NSO rivaleggiano con quelle precedentemente ritenute accessibili solo a una manciata di stati nazionali.
Ricordiamo, che Apple ha già denunciato NSO, che tra l’altro sembra in procinto di voler sospendere la distribuzione del suo spyware.