„Pegasus” – słowo ostatnimi czasy odmieniane przez wszystkie przypadki w głównych mediach jak i w tych niszowych. Czym jest Pegasus i skąd się wziął, zapewne większość opinii publicznej już wie dzięki popularności medialnej jaką zdobył ostatnio m.in. w Polsce. Dla przypomnienia należy nadmienić, jest to złośliwy program z kategorii „trojanów” czyli takich, które uruchomione na urządzeniu ofiary dają pełną kontrolę temu, kto go podrzucił za pośrednictwem Internetu lub inną drogą. Nazewnictwo wywodzi się od mitologicznego „Konia Trojańskiego”, którego historia jest bardzo analogiczna do sposobu działania tego typu destrukcyjnych programów.
Początki trojanów sięgają początku rozwoju komputerów i nie jest niczym zaskakującym ich powszechne istnienie oraz powstawanie coraz to nowych i bardziej sprytnych-złośliwych tego typu programów wykorzystywanych do szerokiego spektrum celów. Począwszy od głupich żartów do kradzieży danych, aż po profesjonalne zastosowania militarne i wywiadowcze. Do niedawana tego typu programy funkcjonowały głównie na komputerach klasy PC, ale wraz z rozwojem urządzeń mobilnych zyskały nowe pole działań i całkiem duże możliwości, dzięki naszpikowaniu urządzeń mobilnych licznymi czujnikami, kamerami, mikrofonami oraz innymi podzespołami do gromadzenia dużej ilości danych o ich użytkowniku.
Dlaczego nasz tytułowy Pegasus zyskał taką sławę i wyróżnił się na tle konkurencji? Postaram się w kliku zdaniach odpowiedzieć na to pytanie w sposób powszechnie zrozumiały. Otóż aby trojan mógł działać musi zostać podrzucony na urządzenie ofiary oraz zostać uruchomiony z uprawnieniami dającymi mu jak największą władzę nad urządzeniem i jego komponentami. W dobie dzisiejszych zabezpieczeń, programów antywirusowych oraz licznych kampanii edukacyjnych na temat bezpiecznego korzystania z Internetu wcale nie jest łatwo podrzucić taki program. Nawet jeżeli się uda go w jakiś sposób przemycić na urządzenie ofiary to uruchomiony jako zwykła aplikacja nie uzyska dostępu do niczego na co mu użytkownik świadomie nie pozwoli. Chyba, że urządzenie ofiary będzie działało pod kontrolą systemu operacyjnego, który posiada błędy w swoim oprogramowaniu umożliwiające obejście istniejących zabezpieczeń i tym właśnie zabłysnął Pegasus.
Standardowo firmy produkujące powszechne i popularne urządzenia elektroniczne oraz ich oprogramowanie zatrudniają liczne grono testerów, których jedynym zadaniem jest szukanie niedoskonałości oraz luk bezpieczeństwa. Dodatkowo wyznaczają wysokie nagrody pieniężne dla zewnętrznych testerów, którzy wynajdą potencjalną lukę umożliwiających wykonanie niedozwolonych działań na urządzeniu oraz ją zgłoszą zanim ktoś ją wykorzysta w niecnym celu. Są firmy, które zajmują się tylko i wyłącznie szukaniem „dziur” w popularnych systemach i programach, a efekty swoich prac zgłaszają ich producentom zgarniając spore gratyfikacje finansowe.
W Izraelu powstała właśnie taka firma wspierana przez tamtejszy rząd, która efekty swoich prac wykorzystała do szpiegowskich zastosowań i zamiast zgłaszać znalezione dziury w oprogramowaniu na smartfony zaczęła je wykorzystywać w celach wojskowo-wywiadowczych. Trojanem bazującym na znalezionych lukach w oprogramowaniu stworzonym przez tę firmę był tytułowy Pegasus. Po licznych sukcesach Pegasusa tamtejszy rząd dał zielone światło również na jego wykorzystanie komercyjne poza granicami kraju i odsprzedaż innym ściśle wybranym krajom/instytucjom, które deklarowały jego użycie tylko w ściśle określonych celach zgodnych z umową (głównie walkę z przestępczością i terroryzmem) oraz całkowite zachowanie tajemnicy co do istnienia i sposobu działania tego oprogramowania.
Jednym z krajów, które skorzystały z oferty była również Polska. Mimo, że w naszym kraju nie istniało realne zagorzenie terrorystyczne oraz nasze służby specjalne dysponowały i nadal dysponują praktycznie wszystkimi legalnymi sposobami do pozyskiwania informacji operacyjnych, bo trzeba tu zaznaczyć, że korzystanie z luk bezpieczeństwa czyli kolokwialnie mówiąc „włamywanie się” na urządzenia elektroniczne jest nielegalne w naszym kraju jak i również w innych cywilizowanych krajach z, którymi mamy umowy międzynarodowe regulujące te kwestie.
Nasze „tajne przez poufne” służby specjalne wraz z nadzorującą je administracją polityczną popełniły jednak szereg szkolnych błędów, które ostatecznie doprowadziły do ujawnienia faktu zakupu samego Pegasusa oraz celu w jakim faktycznie był używany. Pierwszym podstawowym błędem był wybór sposobu finansowania zakupu, którego procedura umożliwiała dostęp szerszemu gronu osób oraz instytucji państwowych do informacji o zakupie oraz kwocie jaka została na to wygospodarowana. Informacje te wyciekły do mediów już w 2018 r. jednak brakowało twardych dowodów, a wszelkie służby i politycy konsekwentnie zaprzeczali tym doniesieniem.
Jednak w miarę upływu czasu pojawiły się dowody, które trudno jest podważyć. Mianowicie najpierw został odnotowany ruch w Internecie, który generowało oprogramowanie Pegasus wysyłając dane pozyskane z zainfekowanych smartfonów do serwerów, które te dane obierały oraz magazynowały. Okazało się, że serwery były zlokalizowane w Polsce oraz kontrolowały je instytucje państwowe. Jest to kolejny szkolny błąd bo ruch ten można było skutecznie zamaskować i pokierować drogami w Internecie nie do wytropienia. Dane oczywiście były szyfrowane więc nie sposób było sprawdzić co zawierają oraz od kogo zostały wykradzione. Przysłowiowym „gwoździem do trumny” był moment kiedy producenci smartfonów odkryli luki wykorzystywane przez Pegasusa oraz ślady jakie po sobie zostawiał w samych urządzeniach. Producenci zaczęli informować swoich użytkowników kiedy i jak często ich urządzenia były infekowane oprogramowaniem Pegasus. Brak usunięcia śladów pozostawionych w smartfonie mimo posiadanej pełnej nad nim kontroli był kolejnym szkolnym błędem.
W związku zaistniałymi dowodami politycy partii rządzącej oraz przedstawiciele służb specjalnych zmienili swoją narrację najpierw sugerując, że działalność Pegasusa w Polsce mogła być efektem działań zagranicznych służb specjalnych, a później przyznali że owszem używali Pegasusa ale tylko za zgodą sądów i w celach walki z przestępczością. Po czym przedstawiciele sądów wydali oświadczenia, że zgody były udzielane na znane i legalne formy inwigilacji oraz nie było w nich mowy o użyciu programów typu Pegasus. Niebawem też okazało się, że w Polsce oprogramowanie Pegasus było używane głównie do szpiegowania polityków opozycji oraz osób niewygodnych dla władzy co do, których nie toczyły się żadne postępowania.
Czy po wykryciu luk jakich używał Pegasus oraz sposobu w jaki działał nadal może on skutecznie być używany i funkcjonować na całym świecie? Niestety tak, ponieważ producenci smartfonów załatali ujawnione luki ale nie mogą załatać tych o, których jeszcze nie wiedzą, a wie o nich już Izraelska firma. Jednak jego funkcjonowanie będzie utrudnione, trochę tak jak zdekonspirowanego tajnego agenta w jednym kraju, którego można przerzucić do innego kraju. Pocieszeniem są ostatnie doniesienia o tym, że Polska nie będzie mogła już oficjalnie zakupić kolejnych wersji Pegasua ponieważ trafiła w Izraelu na czarną listę państw funkcjonujących jak autokratyczne reżimy.
Nasuwa się pytanie, czy w związku z tą aferą obecnawładza poniesie jakieś konsekwencje za swoje działania, a osoby biorące bezpośredni udział w tym procederze zostaną osądzona i skazane? Niestety rokowania nie są obiecujące biorąc pod uwagę to w jaki sposób były zamiatane pod dywan wcześniejsze afery tej władzy. W każdym demokratycznym i cywilizowanym kraju działania takie skończyłyby się dymisją rządu, wyrokami oraz niebytem politycznym dla osób zamieszanych w podobny proceder.
W takim razie czy jesteśmy nadal krajem „demokratycznym i cywilizowanym”? Niech każdy sam sobie odpowie na to pytanie…
