NSO Group software can record your calls, copy your messages and secretly film you

It is the name for perhaps the most powerful piece of spyware ever developed – certainly by a private company. Once it has wormed its way on to your phone, without you noticing, it can turn it into a 24-hour surveillance device. It can copy messages you send or receive, harvest your photos and record your calls. It might secretly film you through your phone’s camera, or activate the microphone to record your conversations. It can potentially pinpoint where you are, where you’ve been, and who you’ve met.

Pegasus is the hacking software – or spyware – that is developed, marketed and licensed to governments around the world by the Israeli company NSO Group. It has the capability to infect billions of phones running either iOS or Android operating systems.

The earliest version of Pegasus discovered, which was captured by researchers in 2016, infected phones through what is called spear-phishing – text messages or emails that trick a target into clicking on a malicious link.

Le logiciel NSO Group peut enregistrer vos appels, copier vos messages et vous filmer secrètement.

C'est le nom de ce qui est peut-être le logiciel espion le plus puissant jamais développé - en tout cas par une entreprise privée. Une fois qu'il s'est introduit dans votre téléphone, sans que vous vous en rendiez compte, il peut le transformer en un dispositif de surveillance 24 heures sur 24. Il peut copier les messages que vous envoyez ou recevez, récolter vos photos et enregistrer vos appels. Il peut vous filmer secrètement à travers la caméra de votre téléphone, ou activer le microphone pour enregistrer vos conversations. Il peut potentiellement déterminer où vous êtes, où vous êtes allé et qui vous avez rencontré.

Pegasus est le logiciel de piratage - ou logiciel espion - qui est développé, commercialisé et cédé sous licence aux gouvernements du monde entier par la société israélienne NSO Group. Il a la capacité d'infecter des milliards de téléphones fonctionnant sous les systèmes d'exploitation iOS ou Android.

La première version de Pegasus découverte a été extraite par des chercheurs en 2016. Elle a infecté des téléphones par le biais de ce qu'on appelle le spear-phishing : des messages texte ou des e-mails qui incitent une cible à cliquer sur un lien malveillant.

Quick Guide

What is in the Pegasus project data?

What is in the data leak?

The data leak is a list of more than 50,000 phone numbers that, since 2016, are believed to have been selected as those of people of interest by government clients of NSO Group, which sells surveillance software. The data also contains the time and date that numbers were selected, or entered on to a system. Forbidden Stories, a Paris-based nonprofit journalism organisation, and Amnesty International initially had access to the list and shared access with 16 media organisations including the Guardian. More than 80 journalists have worked together over several months as part of the Pegasus project. Amnesty’s Security Lab, a technical partner on the project, did the forensic analyses.

What does the leak indicate?

The consortium believes the data indicates the potential targets NSO’s government clients identified in advance of possible surveillance. While the data is an indication of intent, the presence of a number in the data does not reveal whether there was an attempt to infect the phone with spyware such as Pegasus, the company’s signature surveillance tool, or whether any attempt succeeded. The presence in the data of a very small number of landlines and US numbers, which NSO says are “technically impossible” to access with its tools, reveals some targets were selected by NSO clients even though they could not be infected with Pegasus. However, forensic examinations of a small sample of mobile phones with numbers on the list found tight correlations between the time and date of a number in the data and the start of Pegasus activity – in some cases as little as a few seconds.

What did forensic analysis reveal?

Amnesty examined 67 smartphones where attacks were suspected. Of those, 23 were successfully infected and 14 showed signs of attempted penetration. For the remaining 30, the tests were inconclusive, in several cases because the handsets had been replaced. Fifteen of the phones were Android devices, none of which showed evidence of successful infection. However, unlike iPhones, phones that use Android do not log the kinds of information required for Amnesty’s detective work. Three Android phones showed signs of targeting, such as Pegasus-linked SMS messages.

Amnesty shared “backup copies” of four iPhones with Citizen Lab, a research group at the University of Toronto that specialises in studying Pegasus, which confirmed that they showed signs of Pegasus infection. Citizen Lab also conducted a peer review of Amnesty’s forensic methods, and found them to be sound.

Which NSO clients were selecting numbers?

While the data is organised into clusters, indicative of individual NSO clients, it does not say which NSO client was responsible for selecting any given number. NSO claims to sell its tools to 60 clients in 40 countries, but refuses to identify them. By closely examining the pattern of targeting by individual clients in the leaked data, media partners were able to identify 10 governments believed to be responsible for selecting the targets: Azerbaijan, Bahrain, Kazakhstan, Mexico, Morocco, Rwanda, Saudi Arabia, Hungary, India, and the United Arab Emirates. Citizen Lab has also found evidence of all 10 being clients of NSO.

What does NSO Group say?

You can read NSO Group’s full statement here. The company has always said it does not have access to the data of its customers’ targets. Through its lawyers, NSO said the consortium had made “incorrect assumptions” about which clients use the company’s technology. It said the 50,000 number was “exaggerated” and that the list could not be a list of numbers “targeted by governments using Pegasus”. The lawyers said NSO had reason to believe the list accessed by the consortium “is not a list of numbers targeted by governments using Pegasus, but instead, may be part of a larger list of numbers that might have been used by NSO Group customers for other purposes”. They said it was a list of numbers that anyone could search on an open source system. After further questions, the lawyers said the consortium was basing its findings “on misleading interpretation of leaked data from accessible and overt basic information, such as HLR Lookup services, which have no bearing on the list of the customers' targets of Pegasus or any other NSO products ... we still do not see any correlation of these lists to anything related to use of NSO Group technologies”. Following publication, they explained that they considered a "target" to be a phone that was the subject of a successful or attempted (but failed) infection by Pegasus, and reiterated that the list of 50,000 phones was too large for it to represent "targets" of Pegasus. They said that the fact that a number appeared on the list was in no way indicative of whether it had been selected for surveillance using Pegasus.

What is HLR lookup data?

The term HLR, or home location register, refers to a database that is essential to operating mobile phone networks. Such registers keep records on the networks of phone users and their general locations, along with other identifying information that is used routinely in routing calls and texts. Telecoms and surveillance experts say HLR data can sometimes be used in the early phase of a surveillance attempt, when identifying whether it is possible to connect to a phone. The consortium understands NSO clients have the capability through an interface on the Pegasus system to conduct HLR lookup inquiries. It is unclear whether Pegasus operators are required to conduct HRL lookup inquiries via its interface to use its software; an NSO source stressed its clients may have different reasons – unrelated to Pegasus – for conducting HLR lookups via an NSO system.

Guide rapide

Que contiennent les données du projet Pegasus ?

Que contient la fuite de données ?

La fuite de données est une liste de plus de 50 000 numéros de téléphone qui, depuis 2016, auraient été sélectionnés comme étant ceux de personnes d'intérêt par des clients gouvernementaux de NSO Group, qui vend des logiciels de surveillance. Les données contiennent également l'heure et la date auxquelles les numéros ont été sélectionnés, ou saisis sur un système. Forbidden Stories, une organisation de journalisme à but non lucratif basée à Paris, et Amnesty International ont initialement eu accès à la liste et l'ont partagée avec 16 organisations de médias, dont le Guardian. Plus de 80 journalistes ont travaillé ensemble pendant plusieurs mois dans le cadre du projet Pegasus. Le Security Lab d'Amnesty, partenaire technique du projet, a effectué les analyses technico-légales.

Que révèle la fuite ?

Le consortium pense que les données indiquent les cibles potentielles identifiées par les clients gouvernementaux de NSO avant leur éventuelle surveillance. Bien que les données soient une indication de l'intention, la présence d'un numéro dans les données ne révèle pas s'il y a eu une tentative d'infecter le téléphone avec un logiciel espion tel que Pegasus (l'outil de surveillance caractéristique de la société) ou si une tentative a réussi. La présence dans les données d'un très petit nombre de lignes fixes et de numéros américains, auxquels NSO affirme qu'il est " techniquement impossible " d'accéder avec ses outils, révèle que certaines cibles ont été sélectionnées par les clients de NSO même si elles ne pouvaient pas être infectées par Pegasus. Cependant, des examens technico-légaux d'un petit échantillon de téléphones mobiles dont les numéros figurent sur la liste ont révélé des corrélations étroites entre l'heure et la date d'un numéro dans les données et le début de l'activité de Pegasus - dans certains cas, en quelques secondes seulement.

Que révèle l'analyse technico-légale ?

Amnesty a examiné 67 smartphones sur lesquels des attaques étaient suspectées. Parmi ceux-ci, 23 ont été infectés avec succès et 14 ont montré des signes de tentative de pénétration. Pour les 30 autres, les tests n'ont pas été concluants, dans plusieurs cas parce que les combinés avaient été remplacés. Quinze de ces téléphones étaient des appareils Android, dont aucun n'a montré des signes d'infection réussie. Cependant, contrairement aux iPhones, les téléphones utilisant Android n'enregistrent pas le type d'informations nécessaires au travail de détective d'Amnesty. Trois téléphones Android présentaient des signes de ciblage, comme des SMS liés à Pegasus.

Amnesty a partagé les " copies de sauvegarde " de quatre iPhones avec Citizen Lab, un groupe de recherche de l'université de Toronto spécialisé dans l'étude de Pegasus, qui a confirmé qu'ils présentaient des signes d'infection par Pegasus. Citizen Lab a également procédé à un examen par les pairs des méthodes d'analyse d'Amnesty et les a jugées valables.

Quels clients de l'ONS sélectionnaient les chiffres ?

Bien que les données soient organisées en groupes, ce qui indique les clients individuels de NSO, elles ne disent pas quel client de NSO était responsable de la sélection d'un numéro donné. NSO affirme vendre ses outils à 60 clients dans 40 pays, mais refuse de les identifier. En examinant de près le modèle de ciblage des clients individuels dans les données divulguées, les partenaires des médias ont pu identifier 10 gouvernements considérés comme responsables de la sélection de cibles : Azerbaïdjan, Bahreïn, Kazakhstan, Mexique, Maroc, Rwanda, Arabie saoudite, Hongrie, Inde et Émirats arabes unis. Citizen Lab a également trouvé des preuves que ces 10 gouvernements sont des clients de NSO.

Que dit NSO Group ?

Vous pouvez lire la déclaration complète de NSO Group ici (en anglais, NdTalus). La société a toujours affirmé qu'elle n'avait pas accès aux données des cibles de ses clients. Par l'intermédiaire de ses avocats, NSO a déclaré que le consortium avait fait des " hypothèses incorrectes " sur les clients qui utilisent la technologie de l'entreprise. Elle a déclaré que le chiffre de 50 000 était " exagéré " et que la liste ne pouvait pas être une liste de numéros " ciblés par les gouvernements utilisant Pegasus ". Les avocats ont déclaré que NSO avait des raisons de croire que la liste à laquelle le consortium a eu accès " n'est pas une liste de numéros ciblés par des gouvernements utilisant Pegasus, mais peut faire partie d'une liste plus importante de numéros qui pourraient avoir été utilisés par des clients du groupe NSO à d'autres fins ". Ils ont déclaré qu'il s'agissait d'une liste de numéros que n'importe qui pouvait rechercher sur un système open source. Après d'autres questions, les avocats ont déclaré que le consortium basait ses conclusions " sur une interprétation trompeuse de données divulguées à partir d'informations de base accessibles et manifestes, telles que les services HLR Lookup, qui n'ont aucun rapport avec la liste des cibles des clients de Pegasus ou de tout autre produit NSO ... nous ne voyons toujours pas de corrélation entre ces listes et quoi que ce soit lié à l'utilisation des technologies du groupe NSO ". Après la publication, ils ont expliqué qu'ils considéraient qu'une " cible " était un téléphone ayant fait l'objet d'une infection réussie ou d'une tentative d'infection (mais qui a échoué) par Pegasus, et ont réaffirmé que la liste de 50 000 téléphones était trop importante pour représenter des " cibles " de Pegasus. Ils ont ajouté que le fait qu'un numéro apparaisse sur la liste ne permettait en aucun cas de savoir s'il avait été sélectionné pour une surveillance par Pegasus.

Que sont les données de consultation HLR ?

Le terme HLR, ou home location register, désigne une base de données essentielle au fonctionnement des réseaux de téléphonie mobile. Ces registres conservent des informations sur les réseaux des utilisateurs de téléphone et leur localisation générale, ainsi que d'autres informations d'identification qui sont utilisées couramment pour acheminer les appels et les textes. Les experts en télécommunications et en surveillance affirment que les données HLR peuvent parfois être utilisées dans la phase initiale d'une tentative de surveillance, lorsqu'il s'agit de déterminer s'il est possible de se connecter à un téléphone. Le consortium croit savoir que les clients de NSO ont la possibilité, par le biais d'une interface sur le système Pegasus, d'effectuer des recherches sur les HLR. Il n'est pas clair si les opérateurs de Pegasus sont obligés d'effectuer des recherches de HLR via son interface pour utiliser son logiciel ; une source NSO a souligné que ses clients peuvent avoir des raisons différentes - sans rapport avec Pegasus - pour effectuer des recherches de HLR via un système NSO.

Since then, however, NSO’s attack capabilities have become more advanced. Pegasus infections can be achieved through so-called “zero-click” attacks, which do not require any interaction from the phone’s owner in order to succeed. These will often exploit “zero-day” vulnerabilities, which are flaws or bugs in an operating system that the mobile phone’s manufacturer does not yet know about and so has not been able to fix.

In 2019 WhatsApp revealed that NSO’s software had been used to send malware to more than 1,400 phones by exploiting a zero-day vulnerability. Simply by placing a WhatsApp call to a target device, malicious Pegasus code could be installed on the phone, even if the target never answered the call. More recently NSO has begun exploiting vulnerabilities in Apple’s iMessage software, giving it backdoor access to hundreds of millions of iPhones. Apple says it is continually updating its software to prevent such attacks.

Technical understanding of Pegasus, and how to find the evidential breadcrumbs it leaves on a phone after a successful infection, has been improved by research conducted by Claudio Guarnieri, who runs Amnesty International’s Berlin-based Security Lab.

“Things are becoming a lot more complicated for the targets to notice,” said Guarnieri, who explained that NSO clients had largely abandoned suspicious SMS messages for more subtle zero-click attacks.

Depuis lors, cependant, les capacités d'attaque de NSO sont devenues plus performantes. Les infections Pegasus peuvent être réalisées par des attaques dites " zéro-clic ", qui ne nécessitent aucune interaction de la part du propriétaire du téléphone pour réussir. Celles-ci exploiteront souvent des vulnérabilités " zero-day ", qui sont des failles ou des bugs dans un système d'exploitation que le fabricant du téléphone mobile ne connaît pas encore et qu'il n'a donc pas été en mesure de corriger.

En 2019, WhatsApp a révélé que le logiciel de NSO avait été utilisé pour envoyer des logiciels malveillants à plus de 1 400 téléphones en exploitant une vulnérabilité de type " zero-day ". Il suffisait de passer un appel WhatsApp vers un appareil cible pour que du code malveillant Pegasus soit installé sur le téléphone, même si la cible ne répondait jamais à l'appel. Plus récemment, NSO a commencé à exploiter des vulnérabilités dans le logiciel iMessage d'Apple, ce qui lui a permis d'accéder par une porte dérobée à des centaines de millions d'iPhones. Apple affirme qu'elle met continuellement à jour son logiciel pour empêcher de telles attaques.

Les recherches menées par Claudio Guarnieri, qui dirige le laboratoire de sécurité d'Amnesty International à Berlin, ont permis d'améliorer la compréhension technique de Pegasus et la manière de trouver les traces qu'il laisse sur un téléphone après une infection réussie.

" Les choses deviennent beaucoup plus compliquées à remarquer pour les cibles ", a déclaré M. Guarnieri, qui a expliqué que les clients de NSO avaient largement abandonné les SMS suspects pour des attaques plus subtiles de type " zero-click ".

For companies such as NSO, exploiting software that is either installed on devices by default, such as iMessage, or is very widely used, such as WhatsApp, is especially attractive, because it dramatically increases the number of mobile phones Pegasus can successfully attack.

As the technical partner of the Pegasus project, an international consortium of media organisations including the Guardian, Amnesty’s lab has discovered traces of successful attacks by Pegasus customers on iPhones running up-to-date versions of Apple’s iOS. The attacks were carried out as recently as July 2021.

Forensic analysis of the phones of victims has also identified evidence suggesting NSO’s constant search for weaknesses may have expanded to other commonplace apps. In some of the cases analysed by Guarnieri and his team, peculiar network traffic relating to Apple’s Photos and Music apps can be seen at the times of the infections, suggesting NSO may have begun leveraging new vulnerabilities.

Where neither spear-phishing nor zero-click attacks succeed, Pegasus can also be installed over a wireless transceiver located near a target, or, according to an NSO brochure, simply manually installed if an agent can steal the target’s phone.

Once installed on a phone, Pegasus can harvest more or less any information or extract any file. SMS messages, address books, call history, calendars, emails and internet browsing histories can all be exfiltrated.

Pour des entreprises comme NSO, l'exploitation de logiciels qui sont

  - soit installés par défaut sur les appareils, comme iMessage,

  - soit très largement utilisés, comme WhatsApp,

est particulièrement intéressante, car elle augmente considérablement le nombre de téléphones mobiles que Pegasus peut attaquer avec succès.

En tant que partenaire technique du projet Pegasus, un consortium international d'organisations de médias dont le Guardian, le laboratoire d'Amnesty a découvert des traces d'attaques réussies par des clients de Pegasus sur des iPhones fonctionnant avec des versions à jour du système iOS d'Apple. Ces attaques ont été menées aussi récemment qu'en juillet 2021.

L'analyse " technico-légale " des téléphones des victimes a également mis en évidence des éléments suggérant que la recherche constante de faiblesses par NSO s'est peut-être étendue à d'autres applications courantes. Dans certains des cas analysés par M. Guarnieri et son équipe, on peut observer un trafic réseau particulier lié aux applications Photos et Musique d'Apple au moment des infections, ce qui suggère que NSO a peut-être commencé à exploiter de nouvelles vulnérabilités.

Lorsque ni le harcèlement moral ni les attaques par clic ne réussissent, Pegasus peut également être installé via un émetteur-récepteur sans fil situé à proximité d'une cible ou, selon une brochure de NSO, simplement installé manuellement si un agent peut voler le téléphone de la cible.

Une fois installé sur un téléphone, Pegasus peut récolter pratiquement n'importe quelle information ou extraire n'importe quel fichier. Les textos, les carnets d'adresses, l'historique des appels, les calendriers, les courriels et les historiques de navigation sur Internet peuvent tous être récupérés.

“When an iPhone is compromised, it’s done in such a way that allows the attacker to obtain so-called root privileges, or administrative privileges, on the device,” said Guarnieri. “Pegasus can do more than what the owner of the device can do.”

Lawyers for NSO claimed that Amnesty International’s technical report was conjecture, describing it as “a compilation of speculative and baseless assumptions”. However, they did not dispute any of its specific findings or conclusions.

NSO has invested substantial effort in making its software difficult to detect and Pegasus infections are now very hard to identify. Security researchers suspect more recent versions of Pegasus only ever inhabit the phone’s temporary memory, rather than its hard drive, meaning that once the phone is powered down virtually all trace of the software vanishes.

One of the most significant challenges that Pegasus presents to journalists and human rights defenders is the fact that the software exploits undiscovered vulnerabilities, meaning even the most security-conscious mobile phone user cannot prevent an attack.

“This is a question that gets asked to me pretty much every time we do forensics with somebody: ‘What can I do to stop this happening again?’” said Guarnieri. “The real honest answer is nothing.”

" Lorsqu'un iPhone est piraté, cela se fait de manière à permettre à l'attaquant d'obtenir ce qu'on appelle des privilèges root, ou des privilèges administrateur, sur l'appareil ", a déclaré Guarnieri. " Pegasus peut faire plus que le propriétaire de l'appareil lui-même ".

Les avocats de NSO ont affirmé que le rapport technique d'Amnesty International était conjectural, le décrivant comme " une compilation d'hypothèses spéculatives et sans fondement ". Toutefois, ils n'ont contesté aucune de ses constatations ou conclusions spécifiques.

NSO a déployé des efforts considérables pour rendre son logiciel difficile à détecter et les infections par Pegasus sont désormais très difficiles à identifier. Les chercheurs en sécurité soupçonnent que les versions les plus récentes de Pegasus ne sont présentes qu’en mémoire temporaire du téléphone, plutôt qu’en mémoire permanente, ce qui signifie qu'une fois le téléphone éteint, pratiquement toute trace du logiciel disparaît.

L'un des principaux défis que pose Pegasus aux journalistes et aux défenseurs des droits de l'homme est le fait que le logiciel exploite des vulnérabilités non découvertes, ce qui signifie que même l'utilisateur de téléphone portable le plus soucieux de la sécurité ne peut empêcher une attaque.

À la question :

" Que puis-je faire pour que cela ne se reproduise pas ? "

qui m'est posée à peu près chaque fois que nous faisons des analyses technico-légales pour quelqu'un,

" La seule réponse honnête est : rien "

a déclaré M. Guarnieri.