Pegasus est un logiciel espion destiné à attaquer les smartphones sous iOS et Android. Il est conçu et commercialisé dès 2013 par l'entreprise israélienne NSO Group et les premières traces de ses intrusions n'ont été découvertes qu'en 2016.
Installé à distance sur un appareil, il peut contourner tous les systèmes de sécurité et accéder aux fichiers, messages, photos et mots de passe sur les smartphones. Il peut aussi écouter les appels téléphoniques, et déclencher l'enregistrement audio, la caméra ou la géolocalisation.
Le logiciel Pegasus peut être considéré comme une « arme de guerre »... Sa vente nécessite une licence d'exportation du ministère israélien de la Défense. Pour des raisons de sécurité nationale, Israël ne permet pas qu'il cible les pays de l’alliance « Five Eyes », qui regroupe États-Unis, le Canada, le Royaume-Uni, l’Australie et la Nouvelle-Zélande..
En , une enquête journalistique collaborative internationale, révèle que le logiciel a été utilisé par plusieurs pays à des fins d'espionnage et de surveillance illégitime de milliers de personnes dans le monde, au-delà de tout cadre légal.. Parmi les cibles identifiées, on dénombre , des droits de l'homme, et ou membres de gouvernements et des chefs d'états.
Éditeur, commercialisation et découverte de son existence La société israélienne NSO Group fabrique et commercialise des équipements de pointe destinés à lutter contre le terrorisme et le crime organisé. et le logiciel Pegasus fait partie de son offre. L'acquisition d'une licence peut atteindre par cible., mais varie en fonction du nombre de cibles. En 2016, le New York Times expliquait ainsi que les clients de NSO devaient d'abord s'acquitter d'une facture de de frais d'installation, puis d'un forfait de pour 10 iPhone ou 10 Android. Cent cibles supplémentaires étaient facturés , cinquante , vingt , dix .. Chaque vente doit être validée par le ministère israélien de la Défense.
Le groupe NSO fait face à plusieurs poursuites reliées à l'utilisation du logiciel espion. Une fuite de courriels indique que le logiciel est commercialisé dès , date à laquelle les Émirats arabes unis l'achètent. En 2016, grâce à la vigilance de l'opposant émirati Ahmed Mansoor exilé au Canada, les chercheurs du Citizen Lab de l'université de Toronto découvrent Pegasus sur son téléphone..
Caractéristiques techniques Le logiciel Pegasus utilise les failles de sécurité des systèmes d'exploitation des smartphones (iOS ou Android). Son fonctionnement technique évolue ainsi en permanence..
Vulnérabilités Les vulnérabilités zero-day étant difficiles à trouver , elles ont un coût élevé, par exemple, jusqu'à 2,5 millions d'euros pour une faille concernant le système d'exploitation Android.. En , la découverte de vulnérabilités sur iOS était relativement rare, mais Pegasus exploite de nouvelles vulnérabilités au fur et à mesure qu'elles sont détectées, avant qu'elles ne soient identifiées et corrigées par Apple : plusieurs failles ont ainsi été détectées a posteriori de à ....
Par exemple, dès 2016, l'iPhone 6 est la cible de Pegasus qui exploitait plusieurs vulnérabilités logées dans la bibliothèque WebKit. Les failles permettent, en chargeant une page web, d'exécuter du code tiers sur l'iPhone puis de réaliser un débridage d'iOS sur un iPhone ; ensuite, le logiciel chargé localise les zones mémoire du noyau de système d'exploitation pour les modifier, mettant hors d'usage les différentes couches de protection applicative. Le piratage se termine par le téléchargement et l'installation de Pegasus..
Installation L'installation du logiciel sur le smartphone visé peut se faire par plusieurs moyens. :
par spear phishing : elle nécessite que l'utilisateur clique sur un lien envoyé via un SMS ou un iMessage qui exploite ensuite des failles logicielles. ; par redirection Internet : l'utilisateur est redirigé à son insu vers une autre URL que celle du site web qu'il souhaite visiter. ; par radiocommunication : depuis , NSO recourt à des techniques dites « » qui installent Pegasus sans action de l'utilisateur. Ces techniques s'appuient notamment sur les vulnérabilités zero-day de divers logiciels, comme WhatsApp, iMessage ou Apple Music ; par émetteur-récepteur sans fil à proximité du terminal ; manuellement : si le smartphone de la cible passe entre les mains du commanditaire.
Données récupérées Pegasus fournit au commanditaire un large accès aux données du téléphone, incluant les sms et les messages (y compris chiffrés) envoyés et reçus, le carnet d'adresses, il peut activer micro et caméra, capter les données de localisation GPS et permettre l'enregistrement des appels téléphoniques.. Il peut accéder aussi aux publications sur les réseaux sociaux, aux photos, aux vidéos, aux enregistrements. Il a accès aux historiques des consultations internet. Il peut aussi retracer l’itinéraire de son utilisateur. Par exemple, Pegasus est capable de capter des données d’applications, comme WhatsApp, Skype, Facebook ou Gmail. Il peut aussi enregistrer tous les caractères saisis sur le téléphone ou photographier l’écran..
Furtivité Le logiciel espion Pegasus est sophistiqué et modulaire, en plus de permettre une personnalisation selon le pays d'utilisation ou les propriétés achetées par l'utilisateur final. Il utilise un chiffrement pour se protéger de la détection des outils de sécurité traditionnels et dispose d'un mécanisme de surveillance et d'autodestruction. Les versions les plus récentes du logiciel sont susceptibles de se loger uniquement dans la mémoire vive du smartphone, et non sa mémoire permanente, ce qui permet d'en faire disparaître toute trace lors de l'extinction du téléphone. Enfin, lorsque des ONG ou journalistes publient des éléments sur le fonctionnement du logiciel, NSO Group l'adapte pour qu'il demeure furtif.
Architecture L'architecture technique du système s'appuie sur trois niveaux : une station de travail, un serveur informatique d'infection et une infrastructure cloud. L'opérateur lance son attaque depuis sa station, ce qui provoque l'envoi du SMS piégé. Le lien qu'il incorpore pointe vers l'un des serveurs web de l'infrastructure cloud. Le serveur web redirige la victime ensuite vers le serveur d'infection qui va exécuter l'attaque.
Utilisation du cloud Pegasus s'appuie sur les serveurs informatiques d'Amazon Web Services (AWS), filiale d'Amazon et de serveurs hébergés en Europe, dont ceux d'OVHcloud.. À la suite des révélations du projet Pegasus en , Amazon débranche ces serveurs. Selon le laboratoire de recherches canadien Citizen Lab, les services informatiques d’AWS constituent un pilier important de l’infrastructure technique de Pegasus, sans pour autant constituer le cœur de son infrastructure informatique..
Détection Pour vérifier si un téléphone intelligent est infecté, une analyse technique par des experts en sécurité informatique est nécessaire. Dans le cadre de l'enquête journalistique du projet Pegasus, le Security Lab d’Amnesty International, qui par ailleurs offre pour les initiés un outil de détection, a analysé des téléphones ciblés et y a détecté des traces d’intrusions. La méthode de détection a été validée de manière indépendante par les chercheurs du Citizen Lab de l’université de Toronto... La société suisse DigiDNA annonce une application de détection des traces de Pegasus..
Apple lance plusieurs fois par an des alertes sur les ordiphones supposés infectés, la dernière datée du concerne plusieurs centaines de personnes réparties dans 92 pays..
États clients L'entreprise NSO Group qui revendique une quarantaine de clients étatiques travaille en relation avec le gouvernement israélien qui délivre les autorisations d’exportation.. Parmi les États qui utiliseraient le logiciel figurent l'Allemagne, l'Espagne, l'Arabie saoudite, l'Azerbaïdjan, Bahreïn, les Émirats arabes unis, la Hongrie, l'Inde, le Kazakhstan, le Maroc, le Mexique, le Panama, la Pologne, le Rwanda, le Ghana, le Togo, et le Salvador........ En , au total, vingt-six pays sont clients de NSO group pour l'utilisation de ce logiciel. En 2024, il apparaîtrait que la Suisse l'aurait également acheté et utilisé pour son Office fédéral de la police et ses services du renseignement..
Approchés par NSO en 2019, les services de renseignement français sont intéressés par Pegasus. La décision de ne pas l'acheter est prise en haut lieu fin 2020..
À rebours de ce qui était affirmé sur la non utilisation en Israël, le quotidien Calcalist soutient que la police israélienne a utilisé, depuis 2013, le logiciel Pegasus de manière intensive, sans supervision judiciaire et de façon illégale..
Selon le New York Times, le FBI a acheté en 2019 une licence d'une version dédiée de Pegasus pour le tester, sans donner suite au projet après les révélations journalistiques du « Projet Pegasus » en 2021. L’entreprise NSO a développé une version du logiciel pour ses éventuels clients américains baptisée « Phantom » permettant de cibler les téléphones américains..
Utilisations abusives contre des opposants politiques et journalistes L'utilisation du logiciel est controversée et si l'entreprise revendique une utilisation légale de cette technologie (enquêtes criminelles comme celle qui a mené à l'arrestation du baron de la drogue El Chapo), Pegasus est dans la pratique utilisé par des agences de renseignement étatiques, parfois de dictatures, pour espionner des journalistes, des opposants politiques et des militants des droits de l'homme..
Dès 2015 L'Espagne utilise Pegasus contre le mouvement indépendantiste catalan dès 2015.. Selon Citizen Lab, l'activiste politique catalan et professeur universitaire Jordi Sànchez aurait été le premier indépendantiste visé en 2015 à la suite d'une manifestation à Barcelone, bien que la majorité des cas d'espionnage contre le mouvement indépendantiste catalan se soient produits entre 2017 et 2020..
Enquête de 2016 Les premières révélations sortent en 2016 sur la société israélienne NSO Group.. Le , le laboratoire Citizen Lab et l'entreprise Lookout révèlent que le smartphone du militant des droits de l'homme Ahmed Mansoor a été ciblé par un logiciel espion nommé PegasusThe Million Dollar Dissident: NSO Group’s iPhone Zero-Days used against a UAE Human Rights Defender sur citizenlab.org, août 2016.. Ahmed Mansoor est un militant émirati, lauréat 2015 du prix Martin Ennals. Le , il informe les chercheurs du Citizen Lab, Bill Marczak et John Scott-Railton, qu'il vient de recevoir deux SMS suspects sur son iPhone 6. Ces SMS promettent de lui révéler des secrets sur les prisonniers torturés dans les prisons des Émirats arabes unis (EAU). Mansoor devient immédiatement suspicieux : il a été emprisonné pour son activisme et est régulièrement la cible de malwares commerciaux que les analystes ont rattachés au gouvernement des EAU..
L'analyse publiée par Citizen Lab et Lookout indique que l'URL du SMS (qui relève de l'hameçonnage ciblé) dirige vers le téléchargement d'un logiciel malveillant qui exploite trois vulnérabilités critiques dites « zero-day » du système d'exploitation iOS, dénommé Trident. Le logiciel s'installe alors discrètement sur l'iPhone sans en informer l'utilisateur et transmet au commanditaire de nombreuses données (localisation GPS, communications, photos, liste des contacts, accès aux micro et caméra, etc.)..... Les chercheurs découvrent que le virus est un produit référencé par NSO Group, appelé Pegasus dans des documents confidentiels. Des détails du logiciel espion confirment aux chercheurs que son emploi n'est pas nouveau et remonte à plusieurs années..
Enquêtes postérieures Au Mexique, le gouvernement d'Enrique Peña Nieto, qui a payé 80 millions de dollars sa copie du logiciel, a suivi le journaliste mexicain Javier Valdez Cárdenas, assassiné en 2017, et au moins huit autres journalistes, des opposants politiques et des enquêteurs internationaux comme le démontre le Citizen Lab de l'université de Toronto...