Пегас - Лоран Ришар
Мои нервы уже были немного взвинчены, когда 17 июня пришел Лоран и показал мне тревожное сообщение от Фабриса Арфи, нашего друга и коллеги из Mediapart, который помог убедить Эдви Пленеля позволить нам провести экспертизу его телефона еще в апреле. Фабрис прислал Лорану сообщение, в котором говорилось, что в Париже ходят разговоры о том, что Эдви заразился "Пегасом". Ни Фабрис, ни Эдви не были этому рады. Mediapart готовил свой собственный репортаж о киберслежке отдельно от нашего консорциума, но они сделали коллегиальное предложение придержать свои материалы до нашей публикации. Фабрис беспокоился, что история о заражении "Пегаса" в Mediapart просочится, и это опозорит уважаемый сайт. Эдви нервничал. Фабрис нервничал. Я и сам был немного обеспокоен. До публикации оставался еще месяц, и я должен был следить за тем, чтобы это расследование оставалось в тайне до тех пор, пока мы не будем готовы нажать кнопку "Выход".
Кристоф Клерикс был полон решимости дописать историю Карин Канимба для Knack, когда 24 июня 2021 года он отправился к ней в Бельгию. Кристоф с энтузиазмом участвовал в проекте "Пегас", и он знал, что Карин в то время жила в Бельгии. Ее отец, Пол Русесабагина, был похищен руандийскими властями годом ранее, в настоящее время его судили по весьма сомнительным обвинениям, и казалось, что ему вынесут приговор, который гарантирует, что он умрет в тюрьме.
Карин покинула Руанду совсем юной девушкой, вскоре после того, как пережила геноцид; она поступила в колледж в США и работала в Нью-Йорке на протяжении всей своей карьеры. С тех пор как ее отец был похищен, она жила в Бельгии. У Карин было два телефона: один с бельгийским номером, другой - с американским. Ни один из телефонов не оказался особенно сговорчивым.
За последние три недели Кристоф уже трижды ездил к Карине в Бельгию, чтобы провести экспертизу двух ее телефонов, но анализ так и не был завершен никем. Во время первого визита Кристоф попытался сделать резервную копию одного телефона, но файл оказался слишком большим; во время второго визита при загрузке в лабораторию безопасности пропал ключевой файл. План четвертого визита Кристофа состоял в том, чтобы получить более полную резервную копию бельгийского телефона для анализа Клаудио. В тот день возникли дополнительные сложности. Когда Кристоф попытался собрать диагностические журналы с телефона Карин, процесс застыл, чего Клаудио никогда раньше не видел. "Я подумал: "Ну, это странно", - вспоминает Клаудио. Он предложил Карин выключить телефон и перезагрузить его, что она и сделала, и на этот раз извлечение журнала прошло без проблем. В тот день Клаудио пришло в голову, что, возможно, телефон был заражен Pegasus в тот самый момент, когда он пытался извлечь данные, и вредоносная программа блокировала его. Когда он проверил диагностические журналы на временной шкале, то обнаружил выполнение процессов Pegasus, которые он неоднократно наблюдал в течение нескольких предыдущих месяцев: otpgrefd, launchafd, vrn_stats. "Там были записи вплоть до той минуты, когда я сказал ей выключить телефон. Она заражалась каждые несколько дней, и мы случайно оказались рядом".
"Мы думали, что сели им на хвост, когда начали находить случаи месячной давности", - говорит Донча. "Потом мы начали находить дела недельной давности. А потом [с Карин] мы нашли человека, чей телефон был взломан в тот самый момент, когда мы его анализировали. Теперь мы действительно столкнулись лицом к лицу. Они нацелились на нас, а мы активно находим инфекции, которые происходят прямо сейчас. Мы действительно, действительно у них на хвосте".
К этому времени, после почти четырех месяцев работы криминалистов, все большая близость к атакам принесла свои плоды. По мере того как Клаудио и Доннча переходили от изучения исторических случаев к активным атакам и заражениям в реальном времени - можно сказать, преступлениям в процессе совершения - они собрали достаточно доказательств на разных мобильных телефонах, чтобы составить цепочку эксплойтов для iMessage нулевого дня, которые Pegasus использовал на протяжении 2021 года. Клаудио и Доннча назвали эту новую сложную атаку Megalodon - так она называлась в их файле доказательств Pegasus. (Мегалодон - это также название самого крупного вида акул, который когда-либо жил, что, вероятно, не осталось незамеченным разработчиками эксплойтов NSO). Впервые криминалистический инструмент Security Lab обнаружил следы Megalodon на мобильном телефоне французского адвоката по правам человека еще в марте, а Клаудио и Донча видели его на других телефонах в апреле, мае и вот теперь, в конце июня, на iPhone Карин.
Проблема, конечно, заключалась в том, что если Лаборатория безопасности могла видеть, как новая лучшая версия Pegasus работает в телефоне, это увеличивало вероятность того, что Pegasus тоже мог видеть, как Лаборатория безопасности работает в телефоне. Клаудио и Донча уже несколько недель стремились как можно скорее завершить это расследование. Теперь им не терпелось поскорее закончить его.
Я очень ценил эти опасения, особенно после того, как через несколько дней со мной связался Амитай Зив и сообщил, что один из его источников в Израиле, связанный с киберпромышленностью, спросил его, нет ли у нас "списка". По всей видимости, по Израилю ходили слухи о списке, связанном с НСО.
Я попросил Амитаи организовать для меня встречу с его источником. Я предложил Амитаю сказать ему, что нам нужны его технические сведения об индустрии киберэксплойтов в том виде, в каком она существует в Израиле.
Когда я наводил справки о нем, он казался небольшим оводом в киберпространстве Израиля - самопровозглашенный эксперт по безопасности , который всегда присутствовал на крупных киберконференциях, где премьер-министр Нетаньяху поддерживал индустрию. Но он говорил так, словно был заинтересован в том, чтобы контролировать инструменты киберслежения вроде
