Spyware voor iOS nu ook voor Android

Beveiliger Lookout ontdekte de Android-versie van Pegasus tijdens onderzoek naar de iOS-versie van deze malware. De spyware werkt als een keylogger en kan onder meer screenshots maken, audio opnemen, berichten stelen uit diverse sociale media, de browsergeschiedenis zien en heeft toegang tot contactgegevens en SMS. Bijzonder is dat Pegasus zichzelf kan verwijderen. Dat gebeurt als het SIM MCC ID niet valide is, als er een ‘tegengif’ wordt aangetroffen en als er 60 dagen geen contact is geweest met de servers van Pegasus of na een commando van de server.

In 2016 werd de Pegasus-malware voor iOS ontdekt. Aanleiding was een tip van een politieke dissident in de Verenigde Arabische Emiraten. Citizen Lab riep daarop de hulp in van Lookout. Duidelijk werd toen dat Pegasus een product is van de Israëlische NSO Group, dat malware produceert voor onder meer inlichtingendiensten.

Sporen gevonden

Bij het onderzoek naar Pegasus voor iOS maakte Lookout gebruik van een uitgebreide eigen dataset, afkomstig uit de Lookout Security Cloud. Daarin vond het beveiligingsbedrijf sporen van afwijkende Android-applicaties. In samenwerking met Google werd verder onderzoek gedaan naar Pegasus voor Android, dat Google overigen Chrysaor noemt. Dat is in de Griekse mythologie de broer van Pegasus.

Het verschil met de iOS-versie is dat de Android-versie geen gebruik maakt van zero day-lekken om een apparaat te rooten. Daarbij maakt de malware gebruik van de rootingtechniek Framaroot.

Pegasus voor Android is in elk geval op 35 apparaten aangetroffen, onder meer in Israël, Georgië, Mexico, Turkije en de Verenigde Arabische Emiraten.

Meer details over de malware zijn in dit rapport te vinden.