NSO Group ha usato un altro exploit per WhatsApp

Leggendo i documenti pubblici relativi al procedimento legale avviato oltre 5 anni fa da WhatsApp si scopre che NSO Group ha sfruttato almeno tre vulnerabilità zero-day per consentire l’installazione dello spyware Pegasus. Uno degli exploit non era precedentemente noto e i documenti smentiscono le affermazioni fatte in diverse occasioni dall’azienda israeliana.

NSO Group controllava quasi tutto

Il prodotto più noto di NSO Group è Pegasus, un potente tool usato per attività di cyberspionaggio da molti paesi. La sua installazione sui dispositivi mobile avviene sfruttando le vulnerabilità di WhatsApp. L’azienda israeliana ha sempre sostenuto che lo spyware viene utilizzato solo per le attività di indagini su terrorismo e altri crimini. In realtà viene venduto anche a paesi poco democratici. I documenti relativi al procedimento legale svelano inoltre un diretto coinvolgimento di NSO Group nei cyberattacchi.

Gli exploit per WhatsApp facevano parte della suite Hummingbird. Due di essi erano Heaven e Eden. In un documento è scritto che il ruolo dei clienti di NSO Group era minimo. Dovevano solo fornire il numero di telefono del bersaglio. L’azienda israeliana aveva sviluppato un WhatsApp Installation Server (WIS) per l’invio di messaggi malformati che, sfruttando i suddetti exploit, consentiva l’istallazione di Pegasus.

WhatsApp ha rilevato gli attacchi, corretto le vulnerabilità e denunciato NSO Group per la violazione del Computer Fraud and Abuse Act e dei termini di servizio. Nonostante ciò, l’azienda israeliana ha utilizzato un altro exploit zero-click, denominato Erised, che sfruttava WIS. Questo terzo exploit è stato bloccato a maggio 2020, quindi circa 7 mesi dopo la denuncia.

Dai documenti risulta che NSO Group ha fornito gli account WhatsApp per gli attacchi, installato Pegasus ed estratto i dati. L’azienda israeliana ha nuovamente dichiarato che non è responsabile delle azioni dei clienti e che non ha accesso ai dati raccolti da Pegasus. Negli ultimi anni ha bloccato l’accesso a 10 clienti governativi perché usavano il tool in modo scorretto.