O relatório da CloudSEK destaca o aumento do spyware Pegasus falso após os alertas de ameaças da Apple

CloudSEK, uma empresa de segurança cibernética, conduziu uma investigação depois que alertas de ameaças da Apple foram enviados a usuários de iPhone em 92 países no mês passado e descobriu que, logo após a publicação do comunicado, um falso spyware Pegasus. É importante notar que a Apple não nomeou nenhum agente de ameaça em seu alerta, mas citou o spyware Pegasus do grupo NSO como exemplo. CloudSEK acredita que isso pode ter levado fraudadores a vender malware falso como código-fonte do Pegasus.

Detalhes da investigação CloudSEK

Depois da maçã aviso em abril, os pesquisadores do CloudSEK começaram a investigar a deep e dark web, bem como a superfície web, para ver se o spyware Pegasus autêntico poderia ser comprado ou se golpistas estavam usando seu nome para fraudar potenciais compradores.

EM relatório intitulada “Por trás do comunicado: decodificando o alerta e o dilema do spyware da Apple”, a empresa de segurança cibernética afirmou que usa frequentemente plataformas de Internet Relay Chat (IRC). Depois de analisar aproximadamente 25 mil postagens no Telegram, os pesquisadores descobriram que uma parte significativa das postagens sugeria a venda do código-fonte autêntico do Pegasus.

Investigação CloudSEK no Telegram
Crédito da foto: CloudSEK

Essas postagens de alerta de vendas seguiram o mesmo padrão. Palavras como NSO Tools e Pegasus foram usadas para atrair compradores. Depois de interagir com mais de 150 potenciais vendedores desse tipo de spyware “Pegasus”, o relatório descobriu que as amostras incluíam código-fonte, demonstrações em vídeo ao vivo de como usar o malware e instantâneos do código-fonte. Todos eles tinham nomes que sugeriam Pégaso.

Os pesquisadores também encontraram seis amostras exclusivas chamadas Pegasus HNVC (Hidden Virtual Network Computing) publicadas na deep web entre maio de 2022 e janeiro de 2024, sugerindo a disseminação dessas amostras entre os cibercriminosos. Casos semelhantes também foram encontrados na rede de superfície.

Descobertas do CloudSEK

No final das contas, o grupo de segurança cibernética obteve 15 amostras e mais de 30 indicadores de diversas fontes. No entanto, descobriu que “quase todos eles criaram suas próprias ferramentas e scripts fraudulentos e ineficazes e tentaram distribuí-los sob o nome Pegasus, a fim de explorar o nome Pegasus e o Grupo NSO para obter ganhos financeiros significativos”.

Acredita-se que grupos de malfeitores aproveitaram a sensação criada pela assessoria da Apple e por vários relatos da imprensa mencionando o nome Pegasus e o usaram para vender amostras aleatórias criadas por eles mesmos marcadas como Pegasus. Embora esses tipos de programas de spyware ainda possam ser nefastos e causar danos às vítimas, eles provavelmente não estão associados ao Grupo NSO ou ao Pegasus.

O relatório apela a uma análise crítica após um incidente de ataque de ameaça para atribuir corretamente os atores da ameaça, pois isso pode ajudar as empresas de segurança cibernética a identificar e sugerir reforços e garantir que as pessoas não entrem em pânico.