Pegasus è l’ultima creatura dell’unità di Intelligence israeliana 8200. 45 Paesi lo hanno utilizzato
di Raffaele Buccolo
Pegasus Project sta riempiendo le prime pagine dei quotidiani di tutto il mondo da più di una settimana. Tra le inchieste più grandi mai prodotte, è di grande rilievo la vasta portata che lo scandalo ha coperto. Stiamo parlando di 45 paesi in tutto il mondo, con un governo europeo, l’Ungheria di Orban, coinvolta nello scandalo e diversi governi coinvolti in numerosi scandali e report di violazioni di diritti umani. Sebbene siano coinvolti diversi Primi ministri, con un’inchiesta ancora in fase di sviluppo, lo scandalo raggiunge, da un altro lato, lo Stato di Israele. La NSO, azienda leader nel campo della cyber-security, avrebbe progettato Pegasus – un software spia che infetta senza dare alcun segnale lo smartphone del bersaglio – e venduto lo stesso a diversi clienti collegati direttamente con 45 governi nel mondo, che lo hanno utilizzato per spiare dissidenti, giornalisti e capi di Stato rivali. All’interno della lista di account spiati, compaiono anche due donne vicine al giornalista saudita assassinato Jamal Khashoggi, una delle quali è sua moglie, e un giornalista messicano di nome Cecilio Pineda Birto, ucciso nel suo Paese nel 2017, esattamente un mese dopo la comparsa di Pegasus sul suo smartphone.
L’inchiesta parte da Forbidden Stories, un collettivo di giornalisti con a capo Laurent Richard, giornalista investigativo, che coordina mesi di indagine assieme a 17 testate internazionali tra cui compare anche l’organizzazione Amnesty International. L’inchiesta svela, in particolare, una lista di 50.000 soggetti vittime di spionaggio telefonico attraverso Pegasus. Sul sito di Amnesty International, organizzazione a difesa di diritti umani in tutto il mondo, si trova il report dell’analisi informatica forense in supporto dell’inchiesta. Il comunicato di Amnesty parte dall’azienda israeliana: “ NSO Group afferma che il suo spyware Pegasus viene utilizzato solo per indagare su terrorismo e criminalità e non lascia tracce di alcun genere. Questo rapporto sulla metodologia forense mostra che nessuna di queste affermazioni è vera. Questo rapporto accompagna l’uscita del Progetto Pegasus, un’indagine collaborativa che coinvolge più di 80 giornalisti di 17 organizzazioni dei media in 10 paesi coordinati da Forbidden Stories con il supporto tecnico del Security Lab di Amnesty International. Il Security Lab di Amnesty International ha eseguito analisi forensi approfondite su numerosi dispositivi mobili di difensori dei diritti umani (HRD) e giornalisti di tutto il mondo. Questa ricerca ha scoperto una sorveglianza illegale diffusa, persistente e in corso e violazioni dei diritti umani perpetrate utilizzando lo spyware Pegasus di NSO Group”.
Come funziona Pegasus?
Il rapporto Amnesty, descrive nella prima parte la diversa tipologia di attacchi che Pegasus mette in campo, elencando, tra i più pericolosi, gli attacchi zeroclick: “Gli attacchi Pegasus descritti in questo rapporto e nelle appendici di accompagnamento sono dal 2014 fino al luglio 2021. Questi includono anche i cosiddetti attacchi “zero-click” che non richiedono alcuna interazione da parte del bersaglio. Gli attacchi zero-click sono stati osservati da maggio 2018 e continuano fino ad ora. Più di recente, è stato osservato con successo un attacco “zero-click” che sfrutta più zero-day per attaccare un iPhone 12 completamente patchato con iOS 14.6 nel luglio 2021”. Nella fase operativa, come sopra evidenziato, non necessariamente Pegasus agisce attraverso l’apertura URL, ma anche – oltre al zero-click – mentre si utilizzano applicazioni di terze parti. Nel report Amnesty lab compare un caso particolare, un’infezione di rete mentre un attivista, Omar Radi, sta utilizzando l’app Twitter. Durante l’anteprima di un collegamento condiviso nella sua timeline, è stato richiamato il servizio com.apple.SafariViewService per caricare un Safari WebView e si è verificato un reindirizzamento.
Sempre secondo il rapporto, l’evoluzione di rete dello spyware Pegasus, è stata notevole. Negli ultimi 5 anni il gruppo NSO ha lavorato costantemente alla struttura, riprogettando i diversi livelli di server e domini.
Ma da dove parte esattamente tutto? L’indagine tecnica – scrive Amnesty – su Pegasus del gruppo NSO si intensifica quando l’organizzazione scopre l’attacco ad un membro interno e ad un attivista saudita, Yahya Assiri, nel 2018. Il Security Lab di Amnesty International, in seguito, inizia ad incastrare diverse tessere del puzzle, scoprendo altri leaks contro attivisti dei diritti umani in Marocco nel 2019.
L’ intelligence israeliana 8200, chi c’è dietro NSO e Pegasus
Dietro Pegasus e le azioni di cyber-spionaggio c’è un’azienda, la NSO Group, fondata nel 2010, appena 11 anni fa, dai capi della Unità 8200, unità militare facente parte delle forze armate israeliane, incaricate dal governo di occuparsi della parte di SIGINT, spionaggio attraverso segnali elettromagnetici. Il comparto Sigint, parte delle metodologie di cui oggi si avvale l’intelligence per raccogliere le informazioni, è l’attività di raccolta mediante l’intercettazione e analisi di segnali, sia emessi tra persone, come le comunicazioni radio, sia tra macchine.
La stessa unità 8200, ancor prima della fondazione della NSO, era piombata al centro di uno scandalo tra l’asse Israele-Usa, in quanto accusati di aver creato il virus informatico Stuxnet, diffuso dal governo Usa durante l’operazione “Giochi Olimpici” nel 2006, avendo come obiettivo la centrale nucleare iraniana di Natanz. Scopo del virus era il disabilitare le centrifughe inibendo la rilevazione dello stesso. Proprio nel 2007, subito dopo un attacco nel deserto siriano atto ad annientare una centrale che sembrava essere un reattore in costruzione, soggetti in carica nel governo israeliano e all’interno della comparte militare, confermavano che: “ l’intrusione informatica, l’hakeraggio delle reti militari protette e la guerra elettronica facciano oramai parte degli strumenti difensivi israeliani. Lo strumento principale, in grado di combattere questa cyberguerra con successo, è senza dubbio la cosiddetta Unità 8200.
La ricerca Israeliana in campo di sorveglianza cyber
L’unità 8200 è un tassello del comparto di security difensiva, offensiva e di sorveglianza che Israele perfeziona ormai da anni. Come si nota in un articolo di AGI “Nel 2016 il 20% degli investimenti privati mondiali sono finiti in aziende israeliane, sono tra 450 e 500 le start up nel settore della cyber sicurezza, con 40-50 che si uniscono ogni anno. Ma l’innovazione in Israele non si limita a questo settore, “è la base stessa della nostra economia”, ricorda Avi Hasson, il chief scientist del ministero dell’Economia a capo dell’Autorità Israeliana per l’Innovazione“.In Israele è presente il cosiddetto “Spazio Intelligente”, un sistema che aiuta i membri della Knesset ad individuare eventi insoliti nello spazio di indagine. Si legge su Idf, Ministry of Defense di Israele: “ Utilizzando telecamere e radar, distribuiti in tutta la città, il sistema intelligente registra tutto ciò che accade intorno ad esso e consente all’osservatore di vivere l’area nel modo più realistico possibile”. Mairav Zonszein, giornalista del New York Times che si occupa di studiare lo Stato di Israele, commenta su twitter “ Israele è leader mondiale nelle esportazioni di tecnologie della sorveglianza. Testano ed utilizzano questi tools quotidianamente nei territori occupati in un intricatissimo e molto complesso sistema di sorveglianza su milioni di palestinesi”.
La storia di Khadija Ismayilova ci fa comprendere come agiva Pegasus
Khadija Ismayilova è una giornalista dell’Azerbaigian. L’Azerbaigian, nella classifica RSF è al 167 posto nel mondo nel 2021 per concessione di diritti di libertà di stampa, informazione e manifestazione del pensiero. Durante gli ultimi 6 mesi sono stati uccisi 2 giornalisti e il paese rientra all’interno dei 40 Stati collegati allo spionaggio di Stato con Pegasus. La giornalista, prima dello scandalo di ForbiddenStories e Amnesty, viveva costantemente spiata dal governo, tanto che si era accorta di avere telecamere installate da terzi nella sua abitazione. Per le sue operazioni di informazione, ha subito accuse di aver spinto un suo collega al suicidio e in seguito si sono aggiunte anche le accuse di frode, portando la giornalista a dover scontare 7 anni di carcere. Dopo aver passato un anno e mezzo in prigione, pagando una cauzione, Khadija è uscita, partendo per la Turchia appena 3 mesi fa. Quando è stata analizzata la lista dei 50.000 terminali spiati, il numero di Khadija compariva ed era sotto spionaggio da 3 anni. Per tre anni lo spyware ha avuto accesso a fotocamera, messaggi, e microfono della giornalista, il suo pensiero è andato immediatamente alle decine di fonti da cui riceveva informazioni attraverso messaggi.
I consigli di Reporter Sans Frontiers per i giornalisti che lavorano nei 40 Stati oggetto di indagine
Poiché non possono proteggersi da un simile attacco, i giornalisti che lavorano su argomenti delicati in relazione a nessuno degli 11 noti clienti governativi del Gruppo NSO (i governi di Messico, India, Marocco, Indonesia, Arabia Saudita, Emirati Arabi Uniti, Kazakistan, Azerbaigian, Togo, Ruanda e Ungheria) dovrebbero adottare le seguenti misure se sospettano una potenziale infezione da Pegasus:
1)Smetti subito di usare il tuo smartphone e acquistane uno nuovo per continuare a comunicare. 2)Tieni il dispositivo potenzialmente infetto come prova ma tienilo lontano da te e dal tuo ambiente di lavoro.
3)Disconnetti tutti gli account dal telefono potenzialmente infetto e modifica tutte le password da un altro dispositivo.
4)Contatta Forbidden Stories o esperti IT come quelli del Security Lab di Amnesty International per vedere se il tuo numero è nell’elenco trapelato di 50.000 numeri. Il gruppo di esperti di Amnesty International ha anche sviluppato uno strumento, il Mobile Verification Toolkit (MVT), che può essere utilizzato per scoprire se uno smartphone è stato infettato da Pegasus. Si noti che il suo utilizzo richiede buone competenze informatiche.
I giornalisti possono anche inviare il proprio numero di telefono a Share@amnesty.tech per essere controllato.
