Ipinaliwanag: Ano ang Israeli spyware Pegasus, na nagsagawa ng pagsubaybay sa pamamagitan ng WhatsApp?

Ano ang Israeli-made malware na sinabi ng WhatsApp na ginamit para snoop sa mga mamamahayag at aktibista sa buong mundo ngayong tag-init, kabilang ang sa India? Personal ka bang nasa panganib, at dapat mo bang ihinto ang paggamit ng WhatsApp?

Ang WhatsApp, na pagmamay-ari ng Facebook, ay ang pinakasikat na messaging app sa mundo, na may higit sa 1.5 bilyong user sa buong mundo. Humigit-kumulang isang-kapat ng mga gumagamit na iyon - higit sa 400 milyon, o 40 crore - ay nasa India, ang pinakamalaking merkado ng WhatsApp.

Sa Huwebes, Iniulat ng Indian Express na ang tanyag na platform ng pagmemensahe na WhatsApp ay ginamit upang tiktikan ang mga mamamahayag at mga aktibista ng karapatang pantao sa India noong unang bahagi ng taong ito. Ang pagsubaybay ay isinagawa gamit ang isang spyware tool na tinatawag na Pegasus , na binuo ng isang Israeli firm, ang NSO Group.

WhatsApp nagdemanda sa NSO Group sa isang pederal na hukuman sa San Francisco noong Martes, inaakusahan ito ng paggamit ng mga WhatsApp server sa United States at sa ibang lugar para magpadala ng malware sa humigit-kumulang 1,400 mobile phone at device ('Mga Target na Device')... para sa layunin ng pagsasagawa ng pagsubaybay sa mga partikular na user ng WhatsApp ( 'Mga Target na Gumagamit').

Ang pagsubaybay ay isinagawa sa pagitan ng Abril 2019 at Mayo 2019 noong mga gumagamit sa 20 bansa sa apat na kontinente, sinabi ng WhatsApp sa reklamo nito.

Sa isang Op-ed sa The Washington Post, isinulat ng pinuno ng WhatsApp, Will Cathcart, na ang pagsubaybay ay naka-target ng hindi bababa sa 100 tagapagtanggol ng karapatang-tao, mamamahayag at iba pang miyembro ng civil society sa buong mundo. Binibigyang-diin niya na ang mga tool na nagbibigay-daan sa pagsubaybay sa ating mga pribadong buhay ay inaabuso, at ang paglaganap ng teknolohiyang ito sa mga kamay ng mga iresponsableng kumpanya at pamahalaan ay naglalagay sa ating lahat sa panganib.

Ang WhatsApp, na pag-aari ng Facebook , ay ang pinakasikat na messaging app sa mundo, na may higit sa 1.5 bilyong user sa buong mundo. Humigit-kumulang isang-kapat ng mga gumagamit na iyon - higit sa 400 milyon, o 40 crore - ay nasa India, ang pinakamalaking merkado ng WhatsApp.

Ang NSO Group ay isang kumpanyang cyber-security na nakabase sa Tel Aviv na dalubhasa sa teknolohiya ng pagsubaybay at sinasabing tinutulungan ang mga pamahalaan at mga ahensyang nagpapatupad ng batas sa buong mundo na labanan ang krimen at terorismo.

Kaya ano nga ba ang Pegasus?

Ginagawa ng lahat ng spyware kung ano ang iminumungkahi ng pangalan — tiktikan nila ang mga tao sa pamamagitan ng kanilang mga telepono. Gumagana ang Pegasus sa pamamagitan ng pagpapadala ng exploit link, at kung mag-click ang target na user sa link, ang malware o ang code na nagpapahintulot sa pagsubaybay ay naka-install sa telepono ng user. (Ang isang malamang na mas bagong bersyon ng malware ay hindi nangangailangan ng isang target na user na mag-click sa isang link. Higit pa tungkol dito sa ibaba.) Kapag na-install na ang Pegasus, ang umaatake ay may kumpletong access sa telepono ng target na user.

Ang mga unang ulat sa mga operasyon ng spyware ng Pegasus ay lumabas noong 2016, nang si Ahmed Mansoor, isang aktibista ng karapatang pantao sa UAE, ay na-target ng isang SMS link sa kanyang iPhone 6. Ang tool ng Pegasus noong panahong iyon ay nagsamantala ng isang software chink sa iOS ng Apple upang kunin ang aparato. Tumugon ang Apple sa pamamagitan ng pagtulak ng isang update upang i-patch o ayusin ang isyu.

Noong Setyembre 2018, ang The Citizen Lab, isang interdisciplinary lab na nakabase sa Munk School of Global Affairs & Public Policy, University of Toronto, ay nagpakita na ang Pegasus ay naghahatid ng isang hanay ng mga zero-day na pagsasamantala upang mapasok ang mga feature ng seguridad sa telepono at i-install ang Pegasus nang walang kaalaman o pahintulot ng gumagamit. Ang mga operasyon ng Pegasus spyware ay live sa 45 na bansa noong panahong iyon, ipinakita ng pananaliksik ng The Citizen Lab.

(Ang isang zero-day exploit ay isang ganap na hindi kilalang kahinaan, tungkol sa kung saan kahit na ang tagagawa ng software ay hindi alam, at mayroong, kaya, walang patch o fix na magagamit para dito. Sa mga partikular na kaso ng Apple at WhatsApp, samakatuwid, alinman sa kumpanya ay hindi alam ang kahinaan sa seguridad, na ginamit para samantalahin ang software at kunin ang device.)

Noong Disyembre 2018, ang aktibistang Saudi na nakabase sa Montreal na si Omar Abdulaziz ay nagsampa ng kaso laban sa NSO Group sa isang korte sa Tel Aviv, na sinasabing ang kanyang telepono ay na-infiltrate gamit ang Pegasus, at ang mga pakikipag-usap niya sa kanyang malapit na kaibigan, ang pinaslang na Saudi dissident journalist. Jamal Khashoggi, nakipag-snooped. Si Khashoggi ay pinatay ng mga ahente ng Saudi sa konsulado ng kaharian sa Istanbul noong Oktubre 2, 2018; Sinabi ni Abdulaziz na naniniwala siyang na-hack ang kanyang telepono noong Agosto ng taong iyon.

Noong Mayo 2019, iniulat ng Financial Times na ang Pegasus ay ginagamit upang pagsamantalahan ang WhatsApp at tiktikan ang mga potensyal na target. Nagbigay ang WhatsApp ng agarang pag-update ng software upang ayusin ang bug ng seguridad na nagpapahintulot sa spyware na pagsamantalahan ang app.

Ang pamamaraan ng Pegasus

Upang subaybayan ang isang target, dapat kumbinsihin ng isang operator ng Pegasus ang isang target na mag-click sa isang espesyal na ginawang 'exploit link' na nagpapahintulot sa operator na mapasok ang mga feature ng seguridad sa telepono at i-install ang Pegasus nang walang kaalaman o pahintulot ng user. Sa sandaling pinagsamantalahan ang telepono at na-install ang Pegasus, magsisimula itong makipag-ugnayan sa command at control server ng operator upang tumanggap at magsagawa ng mga command ng operator, at ipadala pabalik ang pribadong data ng target, kabilang ang mga password, listahan ng contact, mga kaganapan sa kalendaryo, text message, at live na voice call mula sa sikat na mobile messaging apps. Maaari pa ngang i-on ng operator ang camera at mikropono ng telepono upang makuha ang aktibidad sa paligid ng telepono. Sa pinakabagong kahinaan, ang paksa ng demanda, ang pag-click sa 'exploit link' ay maaaring hindi rin kailanganin at ang hindi nasagot na video call sa WhatsApp ay magbibigay-daan sa pagbukas ng telepono, nang walang tugon mula sa target.

Kapag na-install na, ano ang magagawa ng Pegasus?

Sinabi ng post ng Citizen Lab na maaaring ipadala ng Pegasus ang pribadong data ng target, kabilang ang mga password, mga listahan ng contact, mga kaganapan sa kalendaryo, mga text message, at mga live na voice call mula sa mga sikat na mobile messaging app. Maaaring i-on ang camera at mikropono ng telepono ng target para makuha ang lahat ng aktibidad sa paligid ng telepono, na nagpapalawak sa saklaw ng pagsubaybay. Ayon sa mga pag-aangkin sa isang polyeto ng Pegasus na isinumite ng WhatsApp sa korte bilang isang teknikal na eksibit, maaari ding ma-access ng malware ang email, SMS, pagsubaybay sa lokasyon, mga detalye ng network, mga setting ng device, at data ng kasaysayan ng pagba-browse. Nangyayari ang lahat ng ito nang hindi nalalaman ng target na gumagamit.

Ang iba pang mga pangunahing tampok ng Pegasus, ayon sa polyeto ay: kakayahang ma-access ang mga device na protektado ng password, pagiging ganap na transparent sa target, walang iniiwan na bakas sa device, kumonsumo ng kaunting baterya, memorya at data upang hindi pukawin ang hinala sa mas alerto mga user, isang mekanismong self-destruct kung sakaling magkaroon ng panganib ng pagkakalantad, at kakayahang kunin ang anumang file para sa mas malalim na pagsusuri.

Ang polyeto, na tinatawag na Pegasus: Paglalarawan ng Produkto, ay nagsasabing ang Pegasus ay maaaring gumana sa BlackBerry , Android , iOS (iPhone) at Symbian-based na mga device. Ang pagbanggit sa ngayon ay hindi na ipinagpatuloy na mobile OS Symbian at ang hindi na sikat na BlackBerry ay nagpapahiwatig na ang dokumento ay luma na — at ang Pegasus ay tiyak na na-upgrade sa paglipas ng mga taon.

At paano sinamantala ni Pegasus ang WhatsApp?

Iyan ang malaking tanong para sa marami, dahil ang WhatsApp ay palaging nag-tom-tom sa end-to-end na pag-encrypt nito. Ang ulat ng Financial Times noong Mayo sa taong ito ay nagsabi na ang isang hindi nasagot na tawag sa app ay ang lahat na kailangan upang i-install ang software sa device — walang pag-click sa isang mapanlinlang na link ang kinakailangan. Ipinaliwanag ng WhatsApp sa ibang pagkakataon na sinamantala ni Pegasus ang video/voice call function sa app, na mayroong zero-day security flaw. Hindi mahalaga kung ang target ay hindi tumanggap ng tawag — ang kapintasan ay nagpapahintulot para sa malware na mai-install pa rin.

Naapektuhan ng pagsasamantala ang WhatsApp para sa Android bago ang v2.19.134, WhatsApp Business para sa Android bago ang v2.19.44, WhatsApp para sa iOS bago ang v2.19.51, WhatsApp Business para sa iOS bago ang v2.19.51, WhatsApp para sa Windows Phone bago ang v2.18.348 , at WhatsApp para sa Tizen (na ginagamit ng mga Samsung device) bago ang v2.18.15.

Express Cartoon ni E P Unny.

Maaari bang gamitin ang Pegasus upang i-target ang halos sinuman?

Sa teknikal, oo. Ngunit habang ang mga tool tulad ng Pegasus ay maaaring gamitin para sa mass surveillance; malamang na ang mga piling indibidwal lamang ang matutugunan. Sa kasalukuyang kaso, sinabi ng WhatsApp na nagpadala ito ng espesyal na mensahe sa humigit-kumulang 1,400 user na pinaniniwalaan nitong naapektuhan ng pag-atake, upang direktang ipaalam sa kanila ang nangyari.

Hindi sinabi ng WhatsApp kung gaano karaming tao ang nakipag-ugnayan nito sa India. ang website na ito iniulat noong Huwebes na hindi bababa sa dalawang dosenang akademya, abogado, aktibistang Dalit, at mamamahayag ang inalertuhan ng kumpanya sa India.

Hindi alam kung sino ang nagsagawa ng surveillance sa mga target na Indian. Ang NSO Group, habang pinagtatalunan ang mga paratang ng WhatsApp sa pinakamalakas na posibleng mga termino, ay nagsabi na nagbibigay ito ng tool na eksklusibo sa mga lisensyadong ahensya ng intelligence at pagpapatupad ng batas ng gobyerno, at hindi lamang sa sinumang may gusto nito.

Nakompromiso na ba ang end-to-end encryption ng WhatsApp? Dapat ka bang lumipat sa ibang app — marahil Signal o Wire o Telegram?

Dahil sa pagiging popular ng isang messaging app, ginagawa itong target ng mga hacker, cyber criminal, o iba pang entity. Kahit na ang mga ahensyang nagpapatupad ng batas sa buong mundo ay nais na ma-decrypt ang mga mensahe — isang kahilingan na ipinaglalaban ng WhatsApp, kabilang ang sa India.

Gumagamit ang WhatsApp ng Signal app protocol para sa end-to-end na pag-encrypt nito, na tila ligtas sa ngayon. Ang WhatsApp ay may kalamangan sa Telegram: sa Telegram, tanging ang mga lihim na chat ang end-to-encrypted, habang sa WhatsApp lahat ay end-to-end na naka-encrypt bilang default.

Ang mga nagalit sa episode ng WhatsApp ay maaaring nais na lumipat sa Signal o Wire. Gayunpaman, mahalagang malaman na ang hindi kilalang mga pagsasamantalang 'zero-day' ay maaaring umiral para sa halos lahat ng software at app sa mundo — at maaaring sila ay pagsasamantalahan sa isang punto sa hinaharap ng mga indibidwal o ahensyang determinadong gawin ito.

Ibahagi Sa Iyong Mga Kaibigan: