Af Lars Bennetzen, Alt om Data
Denne artikel er oprindeligt bragt på Alt om Data. Computerworld overtog i november 2022 Alt om Data. Du kan læse mere om overtagelsen her.
Pegasus er navnet på et stykke software udviklet af det israelske firma NSO Group. Det sælges til regeringer og sikkerhedsorganisationer, som bruger det i kampen mod cyberangreb og -terrorisme. Men nu er cyberkriminelle begyndt at bruge det til at hacke virksomheder, og de angreb er næsten umulige at standse.
”Det er en yderst avanceret software. Den kan bruges til at aflæse alt, hvad der sker på mobilen, lige fra sms’er til opkald, lokalitetog passwords – og endda bruge mobilen til at se og lytte til alt, hvad der sker omkring den,” siger Leif Jensen, CBO hos sikkerhedsfirmaet ESET Nordic, til AOD PRO.
Han forklarer samtidig, at Pegasus kan ramme såvel Android-mobiler som iPhones.
”Der var en gang, hvor iOS var et unikt operativsystem, men i dag er både iOS og Android baseret på BSD Unix, og har begge sårbarheder, der kan udnyttes.”
Blev lanceret i 2016
Pegasus er ikke et nyt produkt. Det dukkede op første gang tilbage i 2016, men det har aldrig været tiltænkt som en stykke spyware til kriminelle. NSO Group er et firma, der arbejder sammen med og udvikler software til regeringer og sikkerhedsorganisationer i hele verden, ikke mindst Israel.
”Men når et produkt bliver kommercielt, så vil du som virksomhed tjene penge, og så bliver man måske lidt mindre kritisk med, hvem man sælger til,” pointerer Leif Jensen.
”Konceptet bag Pegasus er defensiv og offensiv sikkerhed, men der er intet der stopper cyberkriminelle i at bruge det som spyware,” fremhæver Leif Jensen.
Oprindelig krævede det interaktion fra brugerne for mod deres vilje at få installeret Pegasus på mobilen, enten gennem en mail, der lokkede brugerne til at klikke på en knap, eller gemt i en app, som blev downloadet.
Drive-by-download
”Men Pegasus har udviklet sig meget gennem tiden. I dag kan den inficere alle mobiler, bare du kommer forbi et websted. Det vi kalder for drive-by-download. Eller den kan sendes til en mobil gennem en lille hardwareboks, hvis du er tæt nok på,” fortæller Leif Jensen.
Ifølge det engelske nyhedsmedie The Guardian er Pegasus endda blevet sendt til mobiler gennem et WhatsApp-opkald ved at bruge en såkaldt 0-day-sårbarhed. Alt, hvad det krævede, var et opkald til de enheder, som skulle inficeres, og opkaldet behøvede ikke engang at blive besvaret.
”Pegasus er en yderst avanceret software. Det er ikke bare nogle drenge, der har lavet den hjemme i garagen; det er seriøs business. Den er så hardcore udviklet, at den bypasser al sikkerhedssoftware, der ligger i mobilen. Samtidig er det, trods alt, begrænset hvor meget et stykke sikkerhedssoftware i en smartphone kan, hvis det ikke må påvirke mobilen,” siger Leif Jensen.
Går efter virksomheder – ikke private
De cyberkriminelle, der har skaffet sig adgang til Pegasus-softwaren, gør det ikke, fordi de vil ramme private brugere, men fordi de ønsker at udspionere virksomheder og regeringer, også her i Danmark.
”Der er helt sikkert danske virksomheder, som det kunne være interessant at udspionere. Vi har meget avancerede virksomheder, der udvikler både medicin og teknologi, og det er brancher, hvor der er mange penge på spil,” påpeger Leif Jensen.
Den dårlige nyhed er, som tidligere nævnt, at det stort set er umuligt at forhindre Pegasus i at ramme medarbejderes smartphones og bruge dem til at spionere på virksomheden. Der dog stadig lidt godt nyt.
”Så længe vi ønsker mobiler med adgang til apps fra de store app-stores, så er det ikke muligt at beskytte os 100 procent. Det, virksomheder dog kan gøre, er at have en god mobile device management, MDM, installeret, så de ved, hvad der er på medarbejdernes mobiler. Det vil gøre det langt mere sikkert og er nok den gyldne middelvej, jeg kan se, vi kan bruge her i Danmark,” vurderer Leif Jensen.
Han slutter af med at forklare, at det kun er muligt at beskytte sig 100 procent mod spyware som Pegasus, hvis man bruger specielt udviklede smartphones, der ikke er baseret på kendte operativsystemer.
”Men selvom vi nok skal komme til et punkt, hvor markedet er parat til disse mobiler, så er vi ikke der endnu,” slutter Leif Jensen.
