I en gemensam teknisk undersökning har forskningsinstituten Citizen Lab vid University of Toronto och Amnesty Tech avslöjat en ny våg av riktade övervakningsangrepp mot medborgarrättsaktivister, oberoende journalister och oppositionspolitiker. Undersökningen visar att angriparna framgångsrikt har installerat det ökända spionprogrammet Pegasus (utvecklat av israeliska NSO Group) samt en tidigare odokumenterad spionvara kallad NoviSpy på offrens mobiltelefoner via så kallade zero-click-angrepp (angrepp som infekterar enheten helt utan att användaren behöver klicka på en länk eller öppna en fil).
Avslöjandet bekräftar att den kommersiella marknaden för avancerade spionvapen fortsätter att blomstra globalt och utgör ett akut hot mot den personliga säkerheten för journalister och civilsamhället även i europeiska grannländer.
Hur ett zero-click-angrepp går till i det tysta
Traditionella cyberattacker kräver att offret luras att klicka på en infekterad bilaga eller mata in sitt lösenord på en webbsida. Ett zero-click-angrepp är betydligt mer försåtligt och tekniskt sofistikerat:
- Osynliga meddelanden via iMessage eller WhatsApp: Angriparen skickar ett specialpreparerat datapaket (ofta dolt som en bildfil, ett PassKit-kort eller en PDF-ström) direkt till målets telefonnummer. Tidigare kända attackkedjor som BLASTPASS och FORCEDENTRY utnyttjade sårbarheter i Apples bildbehandlingsbibliotek.
- Exploatering i minneshanteringen: När telefonens operativsystem (iOS eller Android) automatiskt bearbetar förhandsgranskningen av bilden, utlöses en sårbarhet i minnet utan att telefonen ringer, plingar eller visar någon avisering på skärmen.
- Fullständigt enhetsövertagande: Spionprogrammet bryter sig ur telefonens säkerhetsarkitektur och ger operatören full tillgång till enheten: mikrofon och kamera kan aktiveras i smyg, GPS-positionen spåras i realtid och krypterade chattar i appar som Signal och WhatsApp kan läsas i klartext direkt från skärmminnet innan de krypteras.
NoviSpy: En ny aktör på den illegala spionmarknaden
Medan Pegasus är välkänt för sitt ursprung hos NSO Group, representerar det nyligen upptäckta spionprogrammet NoviSpy en oroande spridning av tekniken. NoviSpy uppvisar avancerade funktioner specifikt optimerade för Android-enheter, där det kan förfalska systemcertifikat och kringgå moderna batterisparfunktioner för att upprätthålla konstant kontakt med angriparens ledningsservrar.
Detta kan utsatta grupper göra för att skydda sin smartphone
Även om zero-click-angrepp är tekniskt avancerade finns det mycket effektiva åtgärder för att drastiskt försvåra för spionprogram att lyckas: 1. Aktivera "Låst läge" (Lockdown Mode) på iPhone: Apple har introducerat funktionen Låst läge (Lockdown Mode) specifikt för att skydda personer som riskerar riktade spionattacker. Läget stänger av avancerad bildhantering, blockerar okända FaceTime-samtal och förhindrar automatisk kodkörning i meddelanden, vilket neutraliserar majoriteten av alla kända zero-click-exploits. 2. Starta om telefonen dagligen: Många moderna spionprogram, inklusive varianter av Pegasus, etablerar inte permanent fotfäste på hårddisken för att undgå upptäckt, utan lever uteslutande i telefonens RAM-minne. En daglig omstart dödar processen och tvingar angriparen att genomföra ett nytt riskabelt intrångsförsök. 3. Håll telefonens operativsystem strikt uppdaterat: Installera alla säkerhetsuppdateringar (iOS och Android) så fort de släpps. De flesta uppdateringar stänger just de sårbarheter som spionföretagen köpt in. 4. Undvik vanliga SMS för känsliga kontakter: Använd ände-till-ände-krypterade appar med försvinnande meddelanden aktiverade.
Åtgärder vid misstanke om pågående övervakning
- **Analysera telefonen med MVT (Mobile Verification Toolkit):** Amnesty International tillhandahåller ett öppet forensiskt verktyg (MVT) som kan söka igenom en säkerhetskopia av telefonen efter kända spår och indikatorer på Pegasus-infektion.
- Byt till en "ren" reservtelefon: Om en telefon misstänks vara komprometterad av Pegasus kan den inte saneras på ett tillförlitligt sätt via en vanlig fabriksåterställning. Enheten måste kasseras och ersättas med en ny telefon kopplad till ett helt nytt konto.