[Translated by {Iikka}{Yli-Kuivila} (ITKST56 course assignment at JYU.FI)]
Herald: Hyvää huomenta C-Basesta, avaruus- asemalta Berliinin takaa tai alapuolelta.
Tervetuloa 2. päivään RC3-streamiä Aloitamme parissa
sekunnissa puheella "NSO Group:n Pega- suksen nappaaminen". Tämä on
saanut paljon huomiota turvallisuus- ja hakkeripiireissä kautta maailman
viimeisten, varmaan parin vuoden aikana. On ollut ilmiömäisiä tapauksia:
murhia, kidnappauksia, journalisteja on uhkailtu, muita tapauksia. Pahamaineinen
ohjelmisto, joka tekee tätä on nimeltään Pegasus. Firma joka sitä markkinoi tunnetaan
lyhenteestään NSO, mitä ikinä se tarkoit- taakaan. Itse asiassa, Amnesty
International IT-osastoineen on niin sano- tusti sijoittanut paljon työtä ja vaivaa
havaitakseen, onko laite tartutettu Pegasuksella vai ei. NSO markkinoi sitä
muiden seikkojen ohella "jäljittämättömänä". Jäljittämättömänä niin kuin
ohjelmisto laitteella kuten tulemme näkemään ja puhujamme tänään: Donncha O'Cearbhaill
Irlannista Amnesty International:ilta esittelee kuinka he
kehittivät havaitsemistyökalut tälle ikä- välle spywarelle, joka on niin suosittu
valtiollisten ryhmittymien ja muiden kes- kuudessa kautta maailman. OK, se
esittelyistä, Donncha, lava ja streami on teidän. Hyvää huomenta.
Donncha: Hyvää huomenta ja kiitokset tuo- sta esittelystä. Kuten siinä mainittiin
haluaisin kertoa teille tänään NSO Group:n Pegasus spyware:sta. Erityisesti
haluaisin selittää kuinka me Amnestyllä olemme tutkineet Pegasusta viimeisinä
parina vuotena ja myös selitän ja näytän joitakin työkalujamme, joita olemme
kehittäneet ja julkaisseet jotta muutkin voivat tutkia ja havaita Pegasus-spywarea
mahdollisesti laitteillaan ja kansalais- yhteiskunnan toimijoiden laitteilla.
Joten, nimeni on Donncha O'Cearbhaill ja olen teknologisti Amnesty Internationalin
Security Lab:issä Berliinissä pienen ryhmän kanssa jonka erikoisalaa
on kansalaisyhteiskuntaa ja muita ihmis- oikeuksien puolustajia vastaan kohden-
nettujen uhkien, kuten spyware, kalastelu ja muut jäljitysuhat tutkinta.
Kuten esittelyssä mainittiin, Pegasus on saanut paljon huomiota viime kuukausina.
Olette voineet nähdäkin Pegasus Project paljastukset, jotka julkistettiin heinä-
kuussa kesällä. Pegasus Project oli maail- manlaajuinen tutkinta NSO Group:n Pegasus
spywareen liittyviä väärinkäytöksiä koskien. Tutkinta perustui vuodettuun
50 000 kpl mahdollisen Pegasus-kohteen listaan, joihin Amnesty Internationalilla
ja Forbidden Stories:lla oli pääsy. Tätä globaalia mediatutkintaa
koordinoi Forbidden Stories ja siihen osal- listui noin 80 journalistia 17:sta eri
tietotusvälineestä kautta maailman. Pegasus Project:n aikana
Amnesty International otti teknisen kump- panin roolin, jossa erityisfokuksena
oli suorittaa yksityiskohtaista, innova- tiivista forensista analyysiä todennä-
köisten kohteiden laitteille. Ja tämän fo- rensisen analyysin keinoin
pystyimme tunnistamaan jälkiä Pegasuksesta, joko sen tartuttamista
tai maalittamista laitteista. Tämän moni- kuukautisen projektin kuluessa Amnesty
Security Lab analysoi noin 67 laitetta, ja näistä 67 mahdollisen kohteen laittee-
sta ainakin 37:ssa oli selkeitä jälkiä Pegasuksen maalittamisesta tai tartunnasta.
Tämä on todellakin suuri määrä tartutet- tuja laitteita. Ja nämä laitteet kuuluivat
journalisteille, aktivisteille, oppositio- poliitikoille, kaikenlaisille ihmisille,
joita laittomasti valvottiin Pegasuksen avulla. Kaiken kaikkiaan kaikista
puhelimista jotka tarkistimme,jotka olivat iPhoneja ja joita ei ollut vaihdettu,
jotka olivat maalittamislistassa. enemmän kuin 80% puhelimista sisälsi
jälkiä Pegasuksesta. Heinäkuussa kun nämä jutut julkaistiin ja
ne korostivat sitä seikkaa että kansalais- yhteiskunta oli hyökkäyksen kohteena:
kuten journalistit Unkarissa, aktivistit Marokossa, Saudi-Arabialaiset toisin-
ajattelijat, myös Jamal Khashoggin perhe, keistä tutkinta näytti että heihin oli
kohdistettu Pegasus-vakoiluohjelma sekä ennen että jälkeen hänen brutaalin
kuoleamnsa. Joten joo, te voitte mennä ja lukea näistä tarinoista Internetistä. Tä-
nään haluaisin keskittyä kuinka pääsimme tuohon pisteeseen, kuinka kehitimme nämä
työkalut, kuinka kehitimme tämän meto- dologian Pegasuksen löytämiselle. Ja myös
haluan selittää kuinka te voitte tehdä tätä, tätä Pegasuksen jäljittämistä ja
muiden mobiili-spywarejen etsintään. Otetaan askel taaksepäin ja kysytään, mikä
Pegasus itse asiassa on? Sen nimi on hyvin tunnettu, mutta mikä tämä ohjelma itse
asiassa on ja kuinka se toimii? OK, eka asia mikä pitää muistaa, on että vaikka
Pegasus on saanut huomiota viimeisenä parina vuotena, se ei itse asiassa ole
uusi tuote. Me tiedämme, että Pegasus on ollut olemassa NSO Group:n kehittämänä
ainakin vuodesta 2010 lähtien. Vasemmalla puolella näette tämän kuvan, se on Pega-
suksen myyntiesitteestä vuodelta 2010 missä kuvaillaan kuinka Pegasus voidaan
asentaa BlackBerry-laitteille. Ja me uskom- me, että alkuperäinen Pegasus-versio kes-
kittyi BlackBerryyn, koska vuonna 2010, älypuhelimia oli paljon vähemmän kuin
nykyisin. BlackBerry oli avainkohde tällaisille turvallisuusvirastoille, jotka
halusivat tällaista vakoiluohjelmaa käyttää. Joten se kehittyi ajan kanssa,
tässä oikealla puolella näette kuvia, jotka vuodettiin Pegasus-esitteestä joka
julkaistiin vuonna 2014. Ensimmäisessä kuvassa puhutaan, kuinka Pegasus asenne-
taan puhelimeen. Tässä esimerkissä se näyttää, kuinka Pegasus-tartutuslinkki
voidaan lähettää tekstiviestin avulla kohdelaitteelle. Ja jos se linkki avataan,
niin kuinka data kerätään ja välitetään takaisin Pegasus-ohjelmiston käyttäjälle.
Tämä on vain yksi esimerkki - heidän omista kuvistaan. Tässä alla olevassa
ympyrässä näette vähän, mitä kaikkea Pegasus väittää kykenevänsä valvomaan.
Jos katsotte, niin näette että peri- aatteessa kaikkea laitteella. Joten,
se puhuu sähköpostiosoitteiden ja teksti- viestien keräämisestä, sijaintitietojen
seuraamisesta, jopa kalenterin lukemisesta ja puhelimen mikrofonin
hallinnasta. Vaikka tämä kuvio on aika vanha, 6-7 vuotta vanha,
saatte vähän ideaa millaista dataa Pegasus-ohjelmisto yrittää kerätä
puhelimelta. Periaatteessa, se kerää kaikenlaista dataa puhelimelta,
joka saattaisi kiinnostaa heitä, jotka suorittavat tällaista valvontaa.
Yksi tärkeä asia muistaa on, että Pegasus spyware onnistuu saamaan
hyvin tavallaan syvän pääsyn puhelimeen, joten se pystyy pääsemään kaikkialle puhe-
limessa mihin käyttäjällä on pääsy, ja sen päälle vielä vähän. Joten vaikka
käyttäisitte pikaviestintä kuten Signalia tai Telegrammia, mikä käyttää salausta,
Pegasus pääsee käsiksi tuohon dataan ja niihin viesteihin ennemmin kuin ne
salataan laitteella. Joten kun tämä vakoiluohjelma pyörii puhelimessa,
mikään näistä salatuista viestintäsovelluksista ei auta, koska sillä on niin syvän tason
pääsy puhelimeen. Niin, tuossa on vähän mitä Pegasus itse asiassa
yrittää kerätä ja mitä - ja mitä ihmiset voivat tehdä Pegasus-ohjelmistolla.
Joten, mistä itse asiassa tutkinta Pegasukseen alkoi? Joudumme palaamaan
niinkin kauas kuin vuoteen 2016, kun Pegasus ensimmäisen kerran tunnistettiin
maailmalta, jolloin sitä kohdistettiin aktivistiin. Tässä tapauksessa (2016)
Pegasuksen löysi ensin Citizen Lab. Citizen Lab on joukko tutkijoita Kanadan
Toronton yliopistosta, jotka myös työsken- televät tutkiakseen kansalaisyhteiskuntaa
vastaan kohdistettuja vakoiluohjelmia. Tässä tapauksessa Arabiemiraateissa
vaikuttava ihmisoikeuspuolustaja Ahmed Mansoor sai epäilyttäviä SMS-viestejä.
Tässä oikealla on pari kuvakaappausta niistä. Mansoor oli varoavainen näiden vie-
stien suhteen, koska hän oli saanut vas- taavia aiemmin, ja hänet oli tartutettu
muilla vakoiluohjelmilla, esim. Finfisher- illä. Joten, kun hän sai näitä viesejä hän
oli varovainen niiden suhteen ja jakoi ne Citizen Lab:n kanssa, joka ryhtyi
tutkimaan niitä. Citizen Lab tajusi että nämä näyttivät
hyökkäysviesteiltä, ja he avasivat linkit heidän omilla testipuhelimilla.
Kun he tekivät tämän, he saivat kiinni hyväksikäyttömenetelmän, joka
välitettiin näiden linkkien avulla ja he saivat myös kopion itse Pegasus-
payloadista. Eli, mitä tapahtuu kun nämä linkit avataan web-selaimessa
kuten Safarissa. Kun linkki avataan, Pegasus-palvelin palauttaa
jotain JavaScriptiä, jotain koodia joka hyväksikäyttää tuntematonta vikaa Safari-
verkkoselaimessa ja näin manipuloimalla Safaria ja hyväksikäyttämällä tätä
tuntematonta haavoittuvuutta - he saavat oman koodinsa ajettua siinä selaimella.
Ja lopulta, parin muun haavoittuvuuden he saavat enemmän käyttöoikeuksia
iPhonella ja voivat lopulta asentaa koko Pegasus-payloadin.
Joo, kun Citizen Lab vuonna 2016 ensiksi löysi tämän, se oli hyvin tärkeä
löydös ja osoitti, kuinka vakavia uhkia kansalaisyhteiskuntaa kohtaan oli.
Että löytyikin ihmisiä, jotka halusivat käyttää tällaisia erittäin
korkean hinnan hyväksikäyttömenetelmiä ihmisoikeuksien puolustajiin, jotka
vain tekevät ihmisoikeustyötään. Valitet- tavasti tämän jälkeen, Ahmed Mansooria
häiriköitiin lisää ja hänet tuomittiin vankilaan, jossa hän yhäkin
vuodesta 2017 lähtien. Melkein neljä vuotta nyt. Joten milloin me Amnestyllä
aloimme tutkimaan tätä? Tiimimme on tut- kinut tällaisia uhkia jo jonkin aikaa.
mutta me todella aloimme keskittymään NSO:n ja tutkimaan heitä vuonna 2018, sen
jälkeen kun eräs kollegamme Amnestyllä alkoi saamaan epäilyttäviä tekstiviestejä.
Tämä kollega sai toukokuussa 2018 tämän viestin jonka näette tässä vasemmalla.
Viesti on kirjoitettu arabiaksi ja se väittää että eräs
mielenosoitus tulee tapahtumaan piakkoin Saudi-Arabian suurlähetystön edustalla.
Ja siinä pyydettiin Amnestyn työntekijää tukemaan tuota mielenosoitusta ja klik-
kaamaan tuota linkkiä lisätietoja varten. Onneksi kollegamme saatuaan tämän viestin,
hän alkoi epäilemään sitä. Hän ajatteli että onpas kummallista, eihän hän edes
tuntenut tätä ihmistä. Ja niin he jakoivat kuvakaappauksen tuosta viestistä
meille Amnesty Security Lab:lle, ja me aloimme tutkimaan asiaa. Aika nopeasti
ryhdyttyämme tutkimaan tätä domain-nimeä ja serveriä, tulimme siihen tulokseen
että se näyttää epäilyttävältä. Ja me myös onnistuimme tunnistamaan lisää domaineja
ja palvelimia, jotka liittyivät tähän alkuperäiseen akhbar-arabia-domainiin. Ja
sitten aika äkkiä rupesimme havaitsemaan, että tässä oli todellakin jotain epäilyttävää,
ja että ehkä se oli jonkinlainen hyökkäys- viesti. Tuohon aikaan emme tienneet, onko
se välttämättä NSO group. Katsomalla näitä alkuperäisiä, ensimmäisiä palvelimia
onnistuimme luomaan tavallaan sormenjäljen jolla pystyimme tunnistamaan tämän tietyn
konfiguraation, joka viestissä lähetetyllä domainilla ja palvleimella oli. Tämän
sormenjäljen avulla saimme suoritettua Internet-skannauksen. Eli, luomme yhtey-
den jokaiseen palvelimeen Internetissä ja lähetämme niille tietyn tyylisen pyynnön,
jonka avulla näemme onko muita vastaavan konfiguraation omaavia palvelimia, jotka
vastaavat tätä sormenjälkeä tästä alku- peräisestä palvelimesta. Tekemällä tätä
Internet-skannausta onnistuimme löytämään 600 eri domainia ympäri Internettiä, jotka
vastasivat tätä sormenjälkeä, ja jotka vaikuttivat liittyvän samanlaisiin
hyökkäyksiin. Joten, se itse avain tämän kaiken havainnointiin oli se, että näimme
että nämä domainit liittyivät itse asiassa Pegasukseen, koska NSO Group teki erään-
laisen avainvirheen, tai heillä oli ydin- prosesseissa vika infrastruktuurin pystyt-
tämisen suhteen. Joten mitä tapahtui: kuten sanottu aiemmin Citizen Lab tunnisti
palvelimia, joita NSO Group käytti vuonna 2016. 2016 paljastuksen jälkeen NSO sulki
kaikki nämä domainit ja infrastruktuurin. Ja sitten rupesivat pystyttämään uuden-
laista infraa, jota ei voisi linkittää NSO Grouppiin. Onneksi he tekivät virheen,
sillä he uudelleenkäyttivät yhden domainin aiemmasta infrastaan, jota he käyt-
tivät myös tässä uudessa infrassaan. Löytämällä tuon yhden domainin niistä
aiemmista 600:sta, jotka NSO:lla olivat olleet käytössään, pystyimme osoittamaan
että nämä 600 muuta domainia olivat myös Pegasukseen liitettävissä. Joten pystyimme
osoittamaan että viesti, joka oli lähetet- ty kollegallemme oli todellakin liitettä-
vissä Pegasukseen, ja sen pyrkimyksenä oli oli saastuttaa hänen laitteensa. Joten
julkaisimme nämä löydökset elokuussa 2018, ja siihen aikaan tunnistimme myös toisen
ryhmän Saudi-Arabialaisia aktivisteja, joita oli myös maalitettu Pegasus-
viestillä Whatsappissa Tämän jälkeen Amnesty International myös tuki oikeus-
käsittelyä Israelissa, joka pyysi Israelin puolustusministeriötä peruuttamaan NSO:n
vientiluvat. Jotta estettäisiin Pegasuksen myynti maille, jotka hyväksikäyttäisivät
sitä Amnestyä ja muita ihmisoikeusakti- visteja vastaan. Valitettavasti
myöhemmin Israelilainen tuomioistuin hyl- käsi tuon valituksen sanoen että Israelin
puolustusministeriöllä oli jo riittävät varmennustomenpiteet, jotka estäisivät
NSO:n vientituotteiden myymisen maille, jotka hyväksikäyttäisivät sitä. Tässä va-
semmalla alhaalla näette kuvion, joka näyttää saatavilla olevien Pegasus-palve-
limien määrän tuohon aikaan. Tarkoitan, katsokaa tätä: kun julkaisimme tämän
raportin NSO toimi ripeästi ja sammutti kaikki 500-600 palvelintaan, jotka toimit-
tivat Pegasusta. Tämä näyttää sen että, NSO lukee näitä tutkimuksia ja huomioivat
ne. He yrittävät välttää sen, että tutki- jat, jotka tutkivat tällaisia hyväksi
käyttötapauksia eivät löytäisi heidän infraansa ja palvelimiaan.
Tämä oli tosiaan vuonna 2018, löydettyämme tämän hyökkäyksen
Amnestyn työntekijää vastaan me Amnestyllä jatkoimme Pegasuksen tutkintaa, jotta
löytäisimme muita tapauksia. Havaitsimme seuraavaksi Pegasus-maalittamista
Marokossa vuonna 2019. Näette sen tässä oikealla. Tällä kertaa havaitsimme, että
marokkolaista ihmisoikeuspuolustaja Maati Monjib oli toistuvasti
Pegasuksen kohteena. Kun tarkistimme hänen puhelimensa, havaitsimme että hänellä oli
joitakin epäilyttäviä viestejä siellä, jotka väittivät jonkinlaisen uutistapah-
tuman tai skandaalin tapahtuneen, ja ne pyysivät kohdetta klikkaamaan linkkejä
väittäen niissä olevan lisätietoa. Kun tutkimme näitä linkkejä, tiesimme heti
että kyseessä on Pegasus-linkkejä, koska olimme jo aiemmin tunnistaneet nämä
domainit kuuluvan niihin 600 domainiin, joita käytettiin jo 2018. Tässä esimer-
kiksi näette tässä oikealla toisessa vies- tissä, näette domainin
videosdownload.co. Tiesimme että se oli Pegasus, koska olimme aiemmin tunnista-
neet ja julkaisseet tämän domainin vuonna 2018. Joten nyt tiesimme että Maati oli
Pegasuksen kohteena, mutta tajusimme että meidän piti tehdä lisätutkintaa, jotta
tietäisimme onko hänen puhelimensa todel- lakin saastunut, joten tarvitsimme lisä-
tietoja hänen laitteeltaan. Kun teimme tämän, löysimme jotain mielenkiintoista
Maatin puhelimesta: löysimme minkä uskoim- me olevan todisteita uudenlaisesta kohden-
tamisesta. Sen sijaan, että saataisiin kohde huijattua klikkaamaan linkkiä,
joka ehkä ei toimi - ehä kohde huomaa että jotain epäilyttävää on tapahtumassa.
Sen sijaan näimme että he käyttivät verkkoinjektiohyökkäystä.
Verkkoinjektiohyökkäys toimii näin: injektiossa täytyy
olla mukana jonkinlaista laitteistoa tai ohjelmistoa siellä, missä mobiililaite
käyttää verkkoa. Tämä voi olla mobiili- verkossa tai sitten se voi olla erillis-
laitteistoa tai -ohjelmistoa joka pyörii samassa Wi-Fi-verkossa kohteen
kanssa. Ja mitä se tekee: kun käyttäjä selaa verkkoa
puhelimellaan, lopulta käyttäjä selaa ja klikkaa jotain linkkiä joka vie
normaalille http-verkkosivulle. Eli ilman https:ää. Joten kun tällainen http-pyyntö
tehdään, ohjelmisto joka on ylempänä ver- kossa näkee tämän http-pyynnön.
Ja kun http-pyyntö tapahtuu se voi sen sijaan että se palauttaisi oikean sisällön
tuohon oikeaan pyyntöön, se sen sijaan palauttaa http uudelleenohjauksen
Ja http uudelleenohjaus vie puhelimen selaimen jonnekin pahantahtoiselle
hyväksikäyttösivustolle, joka sitten hakkeroi puhelimen. Maatin tapauksessa
löysimme että hän oli yrittänyt mennä tarkistamaan sähköpostiaan ja hän oli
kirjoittanut Yahoo.fr selaimeensa. Tällöin ylempänä verkossa oleva ohjelmisto
näkee tämän selväkielisen yhteyden ja uudelleenohjaa hänen puhelimensa tähän
hyväksikäyttölinkkiin jonka näemme tässä ylhäällä. Kuten näette, domain näyttää
epäilyttävältä: "get1tn0w.free247downlo- ads.com". Siinä on satunnaisia merkkejä
lopussa, joka näyttää hyväksikäyttölinkiltä. Tuolloin epäilimme, että tämä
on pegasus, ja että se on uusi tapa toi- mittaa Pegasus ilman että käyttäjää
tarvitaan huijata klikkaamaan linkkiä. Mutta emme olleet varmoja että se oli
Pegasus, se olisi voinut olla jokin muu vakoiluohjelma. Onneksemme NSO auttoi
meitä varmistamaan että se oli Pegasus, sillä ennen kuin julkistimme tämän
raportin, Amnesty kirjoitti NSO Group:lle jakaen löydöksemme ja mielenkiintoisesti
päivä sen jälkeen tämä spyware-palvelin suljettiin ja se meni offlineen.
Ja tämä oli viikko ennen varsinaista raportin julkaisua. Joten se
tavalllaan varmisti meille että NSO todel- lakin hallitsi tuota infrastruktuuria ja
he pystyivät sen sulkemaan silloin, kun me olimme vain heidän kanssaan yksityi-
sesti jakaneet tämän tiedon. Vähän myöhem- min löysimme lisää tietoa, kuinka tämä
hyökäys oli ehkä toteutettu: NSO eräillä messuilla demonstroi uudenlaista laittei-
stoa jonka he olivat kehittäneet, näette sen tässä oikealla olevassa valokuvassa.
Ja me uskomme että valokuvassa on erään- lainen IMSI-sieppaaja tai valetukiasema,
joka voi pyörittää valemobiiliverkkoa. Ja kohteen puhelin: Maati pystyisi
yhdistämänä tuohon valetukiasmeaan, ja silloin tuo tukiasema
mahdollistaa NSO:lle puhelimen uudelleen- ohjauksen hyväksikäyttösivuille.
Emme ole varmoja kuinka tämä tarkalleen tapahtui, jos tämä oli se laite jota käy-
tettiin, mutta me uskomme että NSO esitte- lee tai testaa näitä uudenlaisia taktisen
saastuttamisen keinoja. Tässä vaiheessa löydöksemme olivat Marokossa - rupesimme
tajuamaan että SMS-viestien tarkistus, linkkien tarkistus ja nojautuminen siihen
että ihmiset tulevat meille kertomaan jostakin epäilyttävästä ei voinut toimia
enää jatkossa koska rupesimme näkemään näitä nollaklikkaushyökkäyksiä. Nolla-
klikkaushyökkäys on siis mikä tahansa tapa saastuttaa laite, joka ei nojaa
käyttäjän vuorovaikutukseen. Ei odota siis käyttäjän klikkaavan linkkiä. Tässä
näemme muutamia esimerkkejä toisista nollaklikkaushyökkäyksistä, joita on
löydetty viimeisten parin vuoden aikana. Arvatakseni eräs ensimmäisistä tässä oli
vuona 2019, kun NSO Group kehitti hyväksi- käyttömenetelmän WhatsAppia varten, ja
sitten sitä käytettiin ainakin 1400 ihmi- stä vastaan ympäri maailmaa. Kaikki tämä,
miten se toimi oli näin: kohde sai yksin- kertaisesti soiton WhatsAppissa, ja jopa
vastaamaton soitto mahdollisti hyväksi- käyttömenetelmän ajamisen koneella ja
puhelimen saastuttamisen, ilman minkään klikkaamista. Kuten kuvailtu aiemmin,
näimme näitä verkkoinjektiohyökkäyksiä, ja sitten myöhemmin vuonna 2020, Citizen Lab
löysi myös iMessage-nollapäivän, jota käy- tettiin iPhone-käyttäjien tartuttamiseen
ilman minkäänlaista vuorovaikutusta. Omissa tutkinnoissamme löysimme että
NSO on käyttänyt erilaisia nollaklikkaus- menetelmiä ainakin vuodesta 2017 lähtien
aina tämän vuoden heinäkuuhun. Joten tie- dämme että tämä ei ole uusi tekniikka hei-
lle, mutta se on jotakin mitä olemme vasta äskettäin ruvenneet löytämään
viimeisten parin vuoden aikana. Olemme nähneet että NSO näkee paljon vaivaa
kehittääkseen näitä monimutkaisia ja hyvin vaikuttavia nollaklikkausmenetelmiä. Nyt
kun tiedämme että NSO ja heidän asiakkaan- sa käyttävät tällaisia nollaklikkaushyök-
käyksiä, tajusimme että meidän piti tehdä jotain kehittyneempää jotta löytäisimme
tällaisen valvonnan tapauksia. Suuri ongelma mobiililaitteilla on näkyvyyden
puute, siinä missä tietokoneilla ja kannettavilla meillä on antivirus tai EDR-
järjestelmiä saatavilla. Mitään tuollaista ei ollut vielä tuolloin saatavilla
mobiililaitteille. Joten tällaiset hyök- käykset, erityisesti nollaklikkaushyök-
käykset niitä ei usein havaita. Rupesimme tutkimaan tätä. Tajusimme että vaikka
mobiililaiteforensiikka oli vaikeaa, se ei kuitenkaan ollut aivan
mahdotonta. Tausimme vähän yllättäen, että iPhonet itse asiassa sallivat suht
hyvän näkyvyyden isoon osaan tarpeellista dataa puhelimissa iPhone-varmuuskopioiden
muodossa. Ja on itse asiassa aika mah- dollista aloittaa
forensinen analyysi iPhoneille. Valitettavasti Android-laitteet ovat
paljon rajoitetumpia johtuen Android-käyttöjärjestelmän rajoituksista.
Ei ole mahdollista saada paljoa tietoa Android-varmuuskopiosta, joten ainoat
asiat joita olemme voineet tehdä Android: lle on ollut yksinkertaisesti tarkistaa
SMS-viestit ja ehkä selainhistoria maalit- tamisen jäljiltä. Mutta vieläkin, siinä on
paljon vähemmän dataa Androideilla ver- rattuna iPhoneihin. Toinen suuri ongelma
oli että tajusimme ettei ollut mitään jul- kisia työkaluja, joilla suorittaa käyt-
täjän kanssa yhteistyössä mobiililaite- forensiikkaa. Kaikki forensiset työkalut
oli suunniteltu ja tehty ihmisille, jotka haluavat tietoa puhelimista vasten omis-
tajan tahtoa, takavarikoiduista puhelimis- ta siis. Ei ollut mitään työkaluja,
joilla tarkistaa esimerkiksi oma puhelin vakoiluohjelmien varalta. Tässä kohtaa
astuu esiin Mobile Verification Toolkit. MVT - MVT on Amnesty Internationalin
kehittämä julkinen työkalu ja se on suunniteltu yksinkertaistamaan
mobiililaiteanalyysiä vakoiluohjelmien jälkien löytämiseksi. Se on saatavilla
GitHubissa, käykää katsomassa. Ja korostaisin vielä että
kaikki Pegasus-maalittamiset, joita olen kuvaillut tässä edellisissä tapauksissa
ja tulen kuvailemaan, ne kaikki on löydetty käyttämällä MVT:tä.
MVT siis todellakin toimii, se löytää kehittyneitä vakoiluohejlmia, myös nolla-
klikkausmenetelmiä, nollapäivähyväksikäyt- tömenetelmiä hyödyntäviä, todella sofisti-
koituneita ohjelmia kuten Pegasusta. Joten kun nämä vakoiluohjelmamyyjät sanovat että
"Heidän tuotettaan ei voida havaita": Ne ovat kehittyneitä, he ovat käyttäneet
paljon rahaa kehittääkseen niitä, mutta ne eivät ole taikuutta. Jos olette tarpeeksi
huolellisia ja kattavasti tarkistatte jälkiä: aina löytyy virheitä, joita on
tehty. Aina on jokin tapa jolla tunnistaa potentiaalista epäilyttävää käytöstä
näillä laitteillta. MVT on kirjoitettu Pythonilla ja se on hyvin helppo asentaa:
jos sinulla on PIP, sanot vain: "pip3 install mvt". Ja näin sitä käytetään,
supersimppeliä: tarkistaaksesi iPhonen teet vain iPhone-varmuuskopion ja ajat
komennon "mvt-ios check-backup" ja annat sille varmuuskopion kansion.
Tässä komennossa käytetään myös .stix-tie- dostoa. .stix-tiedosto sisältää indikaat-
toreita. Ne voivat olla erilaisia kuten domainnimiä tai IP-osoitteita tai
prosessinimiä joita on yhdistetty vakoilu- ojhelmiin. MVT on
yleisluontoinen työkalu. Sitä voidaan käyttää Pegasus-indikaattoreiden kanssa,
muttta myös muiden vakoiluohjelmien tai haittaohjelmien tai työkalujen indikaatto-
reiden kanssa. MVT on modulaarinen kehys, ja siinä on moduuleita erilaisten tieto-
kantojen parsintaan, kuten SMS-viestien tai selaushistorian tai muiden laitteella
olevien tiedostojen tarkistukseen. Selitän ja läpikäyn näistä moduuleista muutamia,
ja näytän kuinka niitä voidaan käyttää Pegasuksen tai muiden vakoiluohjelmien
jälkien löytämiseen. Yksi moduuli joka on hyvin käyttökelpoinen on SMS-moduuli,
se on hyvin suoraviivainen, se lukee SMS- tietokannan iPhone-varmuuskopiosta ja
ottaa siitä linkit ja tarkistaa jos mikään linkeistä vastaa tunnettuja pahoja domai-
neja. Tässä tapauksessa me
tarkistamme varmuuskopion, joka oli maali- tettu Pegasuksella, ja me näemme että
siellä on monia domaineja, jtoka on liite- tty Pegasukseen. Näemme tuossa
revolution-news.co, stopsms.biz ja tie- tojemme perusteella NSO on käyttänyt täl-
laisia haitta-SMSiä ensisijaisesti vuosien 2016-2018 välillä. Olemme myös nähneet
Pegasus-linkkejä niinkin kauaa sitten kuin vuonna 2014 ja niinkin piakkoin kuin 2020
Tämä on ollut aika yleistä ja minusta jos näitä nollaklikkaushyökkäyksiä ei ole saa-
tavilla, näemme siltikin näitä haitta- linkkejä SMS:n välityksellä. Toinen data-
lähde joka on ollut hyvin hyödyllinen jäl- kien havaitsemissa on Safari-selaimen his-
toria. Olemme siis nähneet haittalinkkien jälkiä tallentuvan
Safari-selaimen historiaan, erityisesti verkkoinjektiohyökkäysten jäljiltä.
Tässä tapauksessa kun SMS:ssä ei ole linkkiä, kun verkkoinjektiohyökkäys tapah-
tuu, hyökkäyssivuston domain tallentuu selaimen historiaan.
Tarkistamalla selainhistorian, voimme pystyä löytämään todisteita että tämä
hyökkäys tapahtui. Täsä oikealla näette kuvakaappauksen, jonka otti itse asiassa
marokkolainen journalisti, Omar Radi, kun häneen kohdistettiin tällainen verkkoin-
jetkiohyökkyäs Marokossa. Hän oli siis selaamassa verkkoa kun hän klikkasi link-
iä ja sitten hänet uudelleenohjattiin tälle verkkosivustolle. Ja kun tämä kuva-
kaappaus otettiin, se itse asiassa ajoi JavaScriptiä, joka yritti hyväksikäyttää
hänen puhelintaa. Valitettavasti tämän tutkimuksen julkaisun jälkeen Omar Radia
häiriköitiin useasti marokkolaisten viran- omaiten toimesta ja hänet lopulta vangit-
tiin epäoikeudenmukaisen oikeudenkäynnin jälkeen ja hän on tällä hetkellä vankilassa.
Eräs toinen tiedosto, joka on ollut hyvin hyödyllinen tutkinnoissamme on ollut ID
status cache-tiedosto. ID status cache- tiedosto on iPhoneissa ja se pitää kirjaa
kaikista iCloud-tileistä, jotka vuorovai- kuttavat laitteen kanssa. Se voi olla
vuorovaikutusta laitteen kanssa Applen eri palveluiden kautta, mukaan luettuna
iMessage, AirDrop, Apple Photos. Ja mikä on erittäin hyödyllistä tämän suhteen on se
että se näyttää meille mitkä pahantahtoi- set tilit, Pegasukseen liittyvät tilit,
olivat maalittaneet tiettyä laitetta. Mitä tiedämme Pegasuksesta on se, että me
uskomme että nämä tilit on pystytetty ja luotu yhden yksittäisen Pegasus-asiakkaan
toimesta. Kuten näette tässä ensimmäisellä rivillä, näemme että sähköpostiosoite
linakeller - ja me näimme tämän - tätä tiliä käytetään toimittamaan iMessage
nollapäiviä useille eri aktivisteille. Olemme nähneet sitä käytettävän
hyväksikäyttömenetelmien toimittamiseen marokkolaisille aktivisteille ja parille
ranskalaiselle poliittiselle henkilölle. Joten, katsomalla mitkä yksilöt on maali-
tettu saman tilin toimesta, saman asiak- kaan toimesta, pystymme päättelemään
jonkin verran kuka asiakas saattaa olla, ja saamme parempaa attribuutiota hyökkäyk-
selle. Sama asia näissä muissa tapauksissa näemme esimerkiksi sähköpostiosoitteen
jessicadavies1345. Se löydettiin kahden eri unkarilaisen journalistin puhelimesta.
Sama tällä emmadavies-osoitteella, ja taas myös tällä viimeisellä
osoitteella: williams enny. Löysimme tämän kahden eri unkarilaisen yksityishenkilön
puhelimesta, he olivat aktivisteja. Tämä on hyvin käyttökelpoista meille
tutkinnoissamme, koska se todellakin antaa meille paremmin ideaa kuka saattaa olla
näiden näkemiemme hyökkäysten takana. Äsken näytin lokeja SMS-viesteistä,
data- ja selainhistoriasta. Nämä näyttävät tavallaan jälkiä maalittamisesta.
Ne näyttävät että näille on lähetetty haittalinkki, mutta ne eivät näytä että
onko puhelin onnistuneesti saastutettu. Joten, vielä näytän pari lokia, joita
voidaan käyttää juuri tuohon tarkoitukseen - varmentamiseen onko puhelin saastutettu.
Eräs näistä tiedostoista, joka on ollut hyvin hyödyllinen meille tutkinnoissamme,
on niin-kutsuttua datakäyttötiedosto. Data käyttötiedosto iPhonessa tallentaa
tietoa, kuinka paljon mobiilidataliiken- nettä kukin prosessi puhelimella on käyt-
tänyt. Joten tätä voidaan käyttää jäljit- tämään, mitkä sovellukset puhelimella
käyttävät eniten mobiilidatastasi. Mutta mikä on todella hyödyllistä
on se että se itse asiassa tallentaa joi- takin Pegasuksen käyttämien prosessien
nimiä, ja kuinka paljon ne ovat käyttäneet dataa. Joten, mitä tiedämme NSO:n Pega-
suksesta, me uskomme että kun Pegasus asennetaan puhelimeen, se tavallaan
valitsee satunnaisen nimen, jota se käyttää piiloutuakseen ollessaan ajossa
järjestelmässä. Läpi tutkintojemme löy- simme noin 50 erilaista prosessinimeä,
joita Pegasus käytti ja joihin se yritti piilottaa itsensä. Ja kun tunnistimme
nämä prosessinimet, sitten pystyimme etsi- mään näitä Pegasuksen tunnettuja prosessi-
nimiä mahdollisten uhrien laitteilta. Ja mitä tapahtui, tämä tietokanta näyttää
myös aiakleiman milloin prosessi on ensim- mäisen kerran tavallaan ajettu laitteella,
milloin se on viimeksi nähty laitteella. Se myös antaa jonkinlaista tietoa siitä,
paljonko prosessi on siirtänyt dataa. Joissakin tapauksissa se on ollut giga-
tavuittain dataa, mikä osoittaa että Pega- sus todellakin vie hyvin paljon
dataa laitteelta. Ja jälleen, tämä on kaikki automatisoitu MVT:ssä,
jten jos tarkistata puhelimesi MVT:llä ja Pegasus-indikaattoreillta se näyttää sel-
keästi jos mikään prosesseista on löytynyt laitteelta. Toinen ominaisuus, joka on
ollut todella hyödyllinen meille on ollut MVT:n aikajana-ominaisuus.
Aikajana toimii niin, että se ottaa kaikki eri indikaattorit ja moduulit puhelimesta
ja tarkastaa ne: SMS-viestit, tiedostojärjestelmän, ja kaikki
kaikki tapahtumat, kaikki SMS-viestit, kaikki selaimella tapahtuneet kyselyt,
kaikki tallentuvat yhteen tiedostoon päivä määrän kanssa jolloin ne tapahtuivat. Ja
näin katsomalla tätä aikajaa, voimme näh- dä mitkä eri tapahtumat tapahtuivat suun-
nilleen samaan aikaan toistensa kanssa, ja tämä voi antaa meille ideaa kuinka hyök-
käys todella tapahtui laitteella. Haluan kertoa teille yhden esimerkin aikajanan
käytöstä. Jotta tiedätte, kuinka voitte itse sitä käyttää teidän omissa
tutkimuksissanne. Tämä on itse asiassa demonstraatio ruandalaisen aktivistin
puhelimelta, johon kesäkuussa 2021 kohdis- tettiin forcedentry, iMessagen nollapäivä.
Niin, näemme tässä aikajanalla että noin kello 20, 20:45 puhelin rupesi saamaan
push-ilmoituksia iMessagen kautta. Ja vai- kuttaa sitlä että puhelin sai noin 46 push
ilmoitusta. Ja mitä näemme sitten on että SMS-liitteitä ruvettiin kirjoittamaan pu-
helimeen. Viimeisellä rivillä tässä näette että tiedosto kirjoitettiin - kirjoitet-
tiin SMS-liitetiedostot-kansioon. Ja jos katsottae tätä rivin loppua, näemme että
se tiedosto - tiedosto joka kirjoitetaan levylle on itse asiassa .GIF-liite. Tähän
aikaan ajattelimme että tämä liittyy jo- tenkin hyväskikäyttömenetelmään. NSO oli
toimittanut hyväskikäyttömenetelmänsä tuossa GIF-tiedostossa. Jos katsomme tänne
vähän myöhemmin aikajanalla, näemme että noin 10 minuuttia myöhemmin, samana päi-
vänä, Pegasus-prosessi alkaa suorittumaan puhelimella. Tämä otpgrefd-prosessi. Vähän
tämän jälkeen joitakin lisätiedostoja kirjoitettiin levylle, ja muita Pegasus-
prosesseja starttasi. Katsomalla tätä aikajanaa yhdessä näemme aika selvästi,
että puhelin alkoi saamaan iMessage-vies- tejä. Nämä GIF-liitteet kirjoitettiin le-
vylle ja noin 10 minuuttia sen jälkeen puhelin oli saastunut Pegasuksella.
Muistakaa - käyttäjä ei ollut missään vuorovaikutuksessa - he eivät klikanneet
mitään linkkiä. Sikäli mitä tiedämme, he eivät edes huomanneet mitään tapahtuvan
laitteellaan. Hiljaisesti vain nämä viestit toimitettiin ja noin
10-20 minuutin kuluttua Pegasus sai pääsyn laitteeseen.
Jaoimme nämä löydökset Applen kanssa, ja sitten myöhemmin syyskuussa 2021,
Apple - Citizen Lab tunnisti kopion tästä hyväksikäyttömenetelmästä toisella
laitteella - toisen aktivistin puhelimella ja he jakoivat sen Applen kanssa ja Apple
paikkasi tuon haavoittuvuuden syyskuussa 2021. Tässä oli vähän siitä, miten MVT
toimii ja kuinka tämä metodologia toimii tunnistaakseen Pegasuksen laitteella.
Siitä lähtien kun julkaisiimme forensisen metodologiamme ja työkalumme, monet toiset
ryhmät ja organisaatiot ovat myös käyttä- neet näitä työkaluja ja metodologiaa tar-
kistaakseen muita laitteita Pegasuksen jällkien varalta ja ovatkin löytäneet
monia uusia tapauksia. Tässä oikealla näette esimerkin eräältä toiselta vapaa-
ehtoisjärjestöltä, "Frontline Defender", joka tunnisti 6 palestiinalaisten ihmisoi-
keuksien puolustajaa, joidenka laitteet oli hakkeroitu Pegasuksella. Toisessa
tapauksessa Belgian sotilastiedustelu käytti samanlaista metodologiaa tarkis-
taakseen Belgiassa toimivien journalistien puhelimia, ja he havaitsivat että belgia-
laisen journalisti Peter Verlindenin iPhone oli hakkeroitu, ja he epäilivät
tästä Ruandaa. Toinen tapaus, jossa rans- kalaiset tiedusteluviranomaiset varmisti-
vat että useiden ranskalaisten journalis- tien puhelimet oli hakkeroitu Pegasuksella
Haluaisin korostaa, että MVT:ssä on todel- la hyödyllinen Pegasuksen jälkien tunnis-
tamiseen, mutta MVT on suunniteltu olemaan geneerinen mobiiliforensiikkatyökalu. Sitä
voidaan käyttää Pegasus-indikaattoreiden kanssa Pegasuksen etsintään, mutta sitä
voidaan myös käyttää proaktiivisesti mui- den vakoiluohjelmien etsintään. Suositte-
len, että jos epäilette puhelimeenne koh- distuneen tällaisen spywaren, että tarkis-
tatte sen käyttämällä MVT:tä, otatte siitä datan ulos MVT:llä ja pureskelette sitä.
Jos kohde on kansalaisyhteiskunnan jäsen, tai aktivisti niin Amnesty ja muut organi-
saatiot voivat mielellään auttaa tällai- sissa tutkinnoissa. MVT on avoimen lähde-
koodin työkalu. Se perustuu useisiin mo- duuleihin ja olemme aina avoinna ideoille
uusista moduuleista ja havaitsemismeto- deista, joiden avulla tätä työkalua voi-
daan kehittää paremmin havaitsemaan uusia uhkia. Yksi asia mikä MVT:stä pitää muis-
taa on se että se on kehitetty havaitse- maan vakoiluohjelmia. Valitettavasti,
ihmiset, jotka kehittävät näitä vakoiluoh- jelmia, he ovat fiksuja ihmisiä ja he lu-
kevat näitä raportteja ja he katsovat täl- laisia esityksiä. Eli joka kerta, kun jul-
kaisemme tietoa miten näitä kansalais- yhteiskuntaa vastaan kohdistettuja uhkia
voidaan havaita, spyware-yhtiöt ja -toimi- jat yrittävät kehittää työkalujaan niin,
että ne välttäisivät havainnoinnin. He yrittävät päivittää infraansa piilottamaan
tai paremmin häivyttämään heidän aktivi- teettinsa. Antaakseni esimerkin, tässä nä-
kyy miten NSO:n oma infra on kehittynyt ajan myötä. Näemme että kun Amnestynä jul-
kaisimme NSO:n infrasta raportin vuonna 2018, se suljettiin ja sitten myöhemmin
kahden vuoden aikana se alkoi taas pyörit- tämään enemmän infrastruktuuria, joka taas
suljettiin sen löydyttyä vuonna 2021. Se on jatkuvaa kilpavarustelua. Ja vaikka
nämä työkalut ovat hyödyllisiä Pegasuksen havainnoinnissa nyt, se ei välttämättä ai-
na ole niin automaattista, ja on todella tärkeää jatkaa tutkimusta uusien jälkien
löytämiseksi uudenlaisista hyökkäyksistä. Millainne sitten on mobiilisypwaren tule-
vaisuus? Yksi asia jonka haluan sanoa uu- delleen on, että vaikka keskitymme paljon
NSO Group:iin ja Pegasukseen tässä tutki- muksessa ja esityksessä, ja heihin on koh-
distunut muutenkin paljon huomiota: se ei ole ainoa mobiilivakoiluohjelma markkino-
illa. On monia muita pelureita, jotka yrittävät päästä tuohon samaan markkinaan,
ja myös kehittävät samanlaisia vakoilutyö- kaluja, joita sitten myyvät eri asiakkaille.
Olemme nähneet tämän tutkinnoissamme. Löysimme vähintään 180 journalistia, jotka
olivat potentiaalisia Pegasus-kohteita ja monia muita ihmisoikeusaktivisteja sekä
oppositiopoliitikkoja, joihin on kohdis- tettu näitä työkaluja viimeisten vuosien
aikana. Tähän mennessä nämä uhkatoimijat ja nämä, nämä valtiolliset virastot ovat
pystyneet maalittamaan aktivisteja ja kan- salaisyhteiskuntaa ilman rankaisua mobii-
lilaitteiden näkyvyyden ja telemetrian puutteellisuuden vuoksi. He ovat päässeet
pälkähästä, koska heitä ei ole havaittu. Tällaiset työkalut kuten MVT auttavat pal-
jastamaan joitakin näistä uhista, mutta niitä pitää käyttää laajemmin, ja niitä tu
lee käyttää kansalaisyhteiskunnan kanssa enemmän, jotta todella näemme näiden uh-
kien laajuudeen. Ja on myös tärkeää, että teollisuus, teknologiateollisuus ja tur-
vallisuusala työskentelevät läheisesti kansalaisyhteiskunnan kanssa havaitakseen
ja paljastaakseen näitä uhkia, sillä vali- tettavasti ihmiset, jotka ovat suurimmassa
vaarassa näiltä vakavilta hyökkäyksiltä, ovat samoja ihmisiä jotka ovat vähiten va-
rustettuja niin rahallisesti kuin tekni- sesti puolustautumaan niiltä. Yhteen-
vetääkseni ajattelen että näemme hyökkää- jien keskittyvän mobiiliin. Mobiilissa on
kaikki data, mikään muu ei tarjoa saman- laista näköalapaikkaa jonkun elämään ja
heidän sisimpiin ajatuksiinsa. Pelkästään mikrofonin asettaminen jokaisen taskuun,
jonkun taskuun on niin vahva positio olla että ajattelemme yritysten ja valtioiden
jatkavan tällaisten työkalujen kehittä- mistä. Tiedämme - minä ajattelen niin että
nollaklikkaushyväksikäyttömenetelmät tule- vat olemaan hyvin, hyvin haluttuja. Kun
Apple ja muut ovat tehneet erinomaista työtä tehdäkseen iMessage-hyökkäyksistä
paljon vaikeampia, on melkein varmaa, että tällaiset kybervalvontayritykset jatkavat
näiden nollaklikkaushyväskikäyttömenetel- mien kehittämistä. Jos ei iMessageen, niin
ehkä joihinkin muihin chat-sovelluksiin. Vaikka Signaliin, tai Telegramiin tai
WhatsAppiin, he yrittävät hyökätä toisia sovelluksia vastaan joita aktivistit käyt-
tävät. Valitettavasti aktivistien ja kan- salaisyhteiskunnan ei ole mahdollista suo-
jautua näiltä nollapäivähyökkäyksiltä tek- nisesti. Joten me todellakin tarvitsemme
aktiivisempaa yhteistyötä kansalaisyhteis- kunnan ja eri avainalustatoimittajien
kanssa tunnistaaksemme ja puolustautuak- semme näitä uhkia vastaan. Ja me myös
kiireellisesti tarvitsemme parempaa sään- telyä estääksemme tällaisten edistyneiden
vakoiluohjelmien myymisen valtioille ja toimijoille, joilla on pitkä historia nii-
den väärinkäyttämisestä kansalaisyhteis- kuntaa ja oppositiota vastaan. Kiitos
kuuntelusta ja nyt voin vastata joihinkin kysymyksiin. Jos teillä on kysymyksiä tai
jos teillä on huolia valvonnasta, jos olet kansalaisyhteiskunnan jäsen, jos olet ak-
tivisti niin kontaktoikaa meitä osoittees- sa share@amensty.tech . Kiitos.
Herald: Kiitos Donncha. Kiitoksia C-Base: sta. Olemme jo menneet vähän yliajalle
tänä varhaisena hakkeriaamuna. Joitakin kysymyksiä on tullut sisäisesti täällä
meidän pienen yleisömme kesken C-Basessa. Meillä ei ole niin paljoa aikaa jäljellä.
Voitko antaa meille indikaatiota: mikä on tämän käynnissä olevan sodan tahti?
Tunnetko että NSO group tekee aktiivises- ti vastatoimia MVT:tä kohtaan ja kehitys-
työtänne kohtaan, vai saitteko tätä kun- niaa vielä?
D: Ehdottomasti, olemme nähneet viimeisen vuoden aikana että NSO on alkanut olemaan
paljon huolellisempi peittääkseen foren- siset jälkensä, ja vuodesta 2020 lähtien
he ovat alkaneet siivoamaan jälkiä, joita he ovat jättäneet. Ja on selvää, että
he ovat tajunneet ihmisten tutkivan tätä, ja että on riski tämän plajastumisesta,
ja tunnen että tämän kesän paljastusten jälkeen he ovat olleet paljon proaktiivi-
semmin peittäneet joitakin näistä jäljis- tään. Mutta kuten sanoin, NSO on vain
yksi yritys muiden joukossa, ja on muita yrityksiä jotka yrittävät kilpailla tuolla
samalla markkinalla. Joten jos NSO kehit- tää toimintojaan paremmiksi, niin siltikin
ne muut yritykset, niitä voidaan havain- noida MVT:llä ja perustavanlaatuisesti
vaikka he yrittäisivät peittää joitakin jälkiään epäonnistuneista hyökkäyksistä,
niitä jälkiä tulee silti jäämään lojumaan ympräiinsä koska spywaren ei ole mahdol-
lista siivota kaikkia olemassaolonsa jälkiä.
H: Ahaa. Joten joku voisi vaikkapa vielä pitkänkin ajan jälkeen lopulta, vanhalta
laitteelta löytää jälkiä vakoiluohjelmien käytöstä, joka voi olla pitkässä juoksussa
hyvinkin mielenkiintoista tietoa pimeistä kampanjoista ja asioista. Joten, NSO ei
ole ainoa toimija, vaan niitä tulee ole- maan lisää. Ajatteletko että ne ovat vain
tusinakopiioita markkinoilla, vai tuleeko tulevaisuudessa olemaan uudenlaisia uhkia?
D: Niin, minä arvelen että on paljon monia fiksuja ihmisiä, jotka työskentelevät
tuollaisille firmoille, jotka näitä työ- kaluja kehittävät. Justiinsa aiemmin tässä
kuussa Citizen Lab julkaisi raportin toi- sesta kybervakoiluyrityksestä - Cytroxista
joka toimii Pohjois-Makedoniasta. He myi- vät saman tyylistä spywarea, joka käyttää
tavallaan yhden klikkauksen hyökkäyksiä haittalinkkien kanssa iPhonejen ja Android
puhelin tartuttamiseksi. Se on yksi firma, joka toimii samalla markkinalla. on muita-
kin firmoja, jotka tekevät samanlaista toimintaa, mutta me uskomme, että NSO
oli ehdottomasti suurin toimija tällä markkinalla ja he ovat investoineet paljon
rahaa tällaisiin nollaklikkaushaavoittu- vuuksiin. Tähän mennessä, me emme
tiedä ovatko he yhtä iso ja edistynyt toi- mija kuin NSO, mutta ajattelen että moni
muu yrittää ottaa NSO:n paikkaa jos he menettävät suosiotaan.
H: Aivan, aivan. OK, todella paljon kii- toksia. Meidän pitää mennä nyt RC3:n aamu-
ohjelmaan muutamassa sekunnissa. Kiitoksia oikein paljon tästä mielenkiintoisesta pu-
heeesta tänä aamuna. Vielä: share@amnesty. tech on osoite mihin mennä. Ja tämä on
luultavasti yksi niistä puheista, jonka haluatte katsoa uudelleen media.ccc.de:ssä
muutaman päivän kuluttua kun se julkais- taan. Terveisiä Irlantiin. Kiitoksia oikein
paljon ja toivottavasti näemme vielä tosi- elämässä, toivon. Kiitosta. D: Kiitokset,
ja hyvää päivää.
Kaikki on lisensoitu CC 4.0:llä, ja kaikki on yhteisölle vapaata ladata!
Tekstitykset luotu c3subtitles.de:llä vuonna 2022. Liity ja auta meitä!
[Translated by {Iikka}{Yli-Kuivila} (ITKST56 course assignment at JYU.FI)]