NSO Group moet broncode van Pegasus-spyware delen met WhatsApp

De Israëlische maker van Pegasus, NSO Group, moet de broncode van de spyware delen met WhatsApp. Dat heeft het Amerikaanse Hooggerechtshof besloten. Met deze code wil de chatapp bewijzen dat Pegasus ingezet is om telefoons van WhatsApp-gebruikers te infecteren.

Het Hooggerechtshof van de Verenigde Staten oordeelt dat NSO Group de broncode van 'alle relevante spyware' gedurende de periode tussen 29 april 2018 en 10 mei 2020 met WhatsApp moet delen. Volgens het chatplatform werd Pegasus gedurende die tijdspanne ingezet om de telefoons van 1400 WhatsApp-gebruikers te infecteren. Ook moet NSO Group van de rechter informatie over 'de volledige functionaliteit van de spyware' delen met het Meta-dochterbedrijf. WhatsApp wil met de broncode bewijzen dat Pegasus 'aangepast kan worden voor verschillende doeleinden', zoals het onderscheppen van informatie die van en naar telefoons wordt gestuurd, het maken van screenshots en het opslaan van de browsegeschiedenis.

WhatsApp klaagde NSO Group in 2019 aan. De Israëlische spywaremaker wordt ervan beschuldigd dat het misbruik heeft gemaakt van een kwetsbaarheid in WhatsApp. Daardoor was het naar verluidt mogelijk om berichten te versturen waarmee schadelijke code uitgevoerd kon worden op de apparaten van de ontvangers. Hiermee zou het Israëlische bedrijf WhatsApp-gesprekken van 1400 gebruikers gevolgd hebben, waaronder minstens honderd journalisten of mensenrechtenactivisten. Ook overheidsfunctionarissen zouden bespioneerd zijn met Pegasus.

NSO Group probeert de zaak al jaren aan te vechten. Zo ging het in 2022 in beroep door te stellen dat het een agent is van buitenlandse overheden. Het bedrijf beweert dat zijn spyware door overheden wordt gebruikt om terrorisme, kindermisbruik en andere vormen van criminaliteit tegen te gaan. Als NSO Group erkend zou worden als een dergelijke agent, zou het bedrijf recht hebben op immuniteit volgens een Amerikaanse wet die rechtszaken tegen buitenlandse bedrijven beperkt. Dit beroep werd vorig jaar echter afgewezen.

Het bedrijf probeerde ook te voorkomen dat de broncode vrijgegeven werd. NSO Group pleitte voor een uitzondering van het Amerikaanse inzagerecht, de discovery-regel, wegens 'verschillende Amerikaanse en Israëlische beperkingen'. Hoewel het Hooggerechtshof dit verzoek afwees, werd niet het volledige inzageverzoek van WhatsApp gehonoreerd. De rechtbank achtte het niet nodig dat de spywareontwikkelaar ook zijn klantenlijst en informatie over zijn serverarchitectuur moest afstaan. Een WhatsApp-woordvoerder laat in een reactie aan The Guardian weten dat deze beslissing 'een belangrijke mijlpaal' is in de zaak. NSO Group heeft niet gereageerd. Het 'echte' proces tegen de spywaremaker gaat naar verwachting in maart 2025 van start.

NSO Group heeft soortgelijke rechtszaken lopen tegen meerdere partijen, waaronder Apple. Laatstgenoemde wil dat NSO geen Apple-hardware of -software meer mag gebruiken. Het omstreden bedrijf probeerde ook deze rechtszaak aan te vechten, maar die poging werd afgelopen januari verworpen. Ook mensenrechten- en privacyorganisaties spanden de afgelopen jaren rechtszaken tegen het bedrijf aan vanwege de spyware, waaronder de Internet Freedom Foundation uit India, Paradigm Initiative, Privacy International, Reporters Without Borders en het Mexicaanse R3D.

Reacties (59)

[FrostyPeet]

Tja, als NSO de volledige broncode afgeeft aan Meta, dan zal de Amerikaanse overheid die snel in handen krijgen (bepaalde wet die dat kan afdwingen). Wie weet zien we can klonen van die software bij de vijanden van Amerika.

[ANdrode]

Je kan dit als (Nederlandse) overheid of (veiligheids dan wel politie) dienst al lang kopen. De Nederlandse politie en veiligheidsdiensten weigeren om hierover openheid te geven, maar er is een sterk vermoeden.

Om exploits aan te passen heb je geen broncode nodig.

[schoorsteentje]

ook journalisten kunnen dit kopen hoor, niet alleen overheidsdiensten.

[ANdrode]

NSO doet voor zover ik weet behoorlijk lastig met het kopen van hun tools (gelukkig!).

Voor zover ik het vanochtend kon vinden wordt er vooral verkocht aan westerse-, arabische-, etc overheden. En minder aan private organisaties.

Security gerelateerde bedrijven kijken erg uit aan wie ze verkopen. Aan de ene kant vanwege (wapen) wetgeving. Aan de andere kant omdat je niet wil dat je software geanalyseerd wordt.
_{Ik hoorde van security partijen dat ze geen SentinelOne licentie konden krijgen}

[kaaas]

Ik geloof niet dat ze heel erg moeilijk doen hoor. Zelfs de Mexicaanse drug cartels hadden toegang tot Pegasus

[ANdrode]

Dat verbaast mij niet, maar vind ik wel onverantwoord van NSO.

[Zonique]

Ik geloof niet dat het NSO gaat om verantwoord zakendoen. Die zitten al jaren over het randje van wat verantwoord/toegestaan is.

[Aldy]

Een programma kopen wil niet zeggen dat je de broncode daarbij krijgt. En binnen parameters aanpassingen doen binnen een programma heb je inderdaad de broncode niet voor nodig, maar om bepaalde zaken te bewijzen heb je soms de broncode wel nodig.

[kodak]

Het nieuws gaat tot nu toe om gebruik. Het betalen en gebruiken is niet zomaar hetzelfde als een product kopen en krijgen. Het kan bijvoorbeeld ook zijn dat gebruikers dienstverlening kopen, waarbij het bedrijf in opdracht hun software bediend. Of bijvoorbeeld alleen op maat gemaakte software levert die maar een deel van de werking inzichtelijk maakt. Dat zou niet vreemd zijn, aangezien het businessmodel nogal schade kan opleveren als ze werkelijk software leveren om bijvoorbeeld zero days te gebruiken. Die zijn vooral waardevol zolang die zo onduidelijk mogelijk blijven. Het is zelfs realistisch dat slachtoffers meer inzicht kunnen hebben in de werking dan de gebruikers die betalen.

[Hawkysoft]

'Om exploits aan te passen heb je geen broncode nodig'.... Ok misschien niet als je skid exploits hebt/gebruikt... Beetje fatsoenlijke zero day ga jij niet 1,2,3 reversen en al helemaal niet bewerken... Ook niet met je assembly skills (mocht je die hebben)

[ANdrode]

Hier is het antwoord waarschijnlijk 'it depends'.

In de analyse van exploit ketens zie je vaak een decompositie in primitieven en stages. Je ziet ook exploits ketens die er uit zien als lego (operation triangulation).

Het gevaar van exploit ketens zit imo in het gebruik van de 0days in het algemeen. In de broncode van de keten er achter (en command and control, data extractie, etc) zie ik minder risico dan in de vroege stappen in de keten.

En van die vroege stappen in de keten zit het risico niet in het hebben van de broncode - maar in het toepassen er van. Ook als is dat alleen maar omdat de controle over de binaire exploit veel minder is ("in het wild") dan van de sourcecode (...en dan hoop ik dat exploit developers goed documenteren in hun assembly anders is dat gat niet-bestaand😇)

[Wim1147]

Het is een publiek geheim dat de politie in ieder geval FinFisher trojans van Gamma Group heeft gebruikt. Ook bekend is dat de politie vooral voor inlichtingenoperaties en inkijkoperaties dergelijke trojans gebruikt en er maar wat op los hackt op een manier die doet vermoeden dat het meestal niet gaat om verkrijgen van bewijs voor gebruik in rechtszaken. Er is geen enkele reden om te denken dat de politie ook niet Pegasus van NSO niet heeft ingezet tegen de eigen bevolking.

[ANdrode]

Vergeet ook de internationale samenwerking niet. Soms wordt een server gekopieerd door een ander land waar mee wordt samengewerkt, etc.

Als je het negatief uitlegt hebben we bij grensoverschrijdende criminaliteit effectief de intersectie van de zwakste regels van alle landen.

[Alfa1970]

De Nederlandse overheid/veiligheidsdiensten hoeven dit helemaal niet te kopen, die maken het zelf.
Op dat gebied is Nederland goed.

[ANdrode]

Ik kan dat niet inschatten.

Maar ook als de capaciteiten aanwezig zijn zou ik commerciele producten overwegen.
Goedkoper. Attributie is lastiger. Geeft de andere partij geen inzicht en methoden en technieken.

Eigen producten bewaar je voor wanneer het echt nodig is. En gebruik je dan dus niet voor de telefoon van Ridouan T.

[dasiro]

klant zijn ze al langer:
nieuws: FBI kocht omstreden spionagesoftware Pegasus van NSO Group 'om te eva...
en de hoeveelheid spionagetools dat ze zélf ontwikkelen is waarschijnlijk een veelvoud

[blinchik]

Is het "afgeven" of "inzagerecht" ?

[foobar79]

Het is niet zo dat de NSO zelf zo’n lieverdje is:

https://citizenlab.ca/201...erations-in-45-countries/

Ook werden bv in Uganda Amerikaanse diplomaten bespioneerd.

[Aldy]

Ik begrijp uit het artikel dat NSO zelf ook actief is en dat het niet alleen een artikel voor de verkoop is. Ik vraag mij daarbij ook af of NSO dit op eigen houtje doet of in opdracht van de Israëlische overheid. Indien zij dit op eigen houtje doen, dan vraag ik mij af hoe zij ook aankopen van Pegasus hebben kunnen manipuleren.

[MazDaMan1970]

Uiteraard hebben ze nauwe banden met de Israëlische overheid, anders zouden ze niet eens op legale wijze hun malware te koop mogen aanbieden. Zou mij iig niks verbazen als het corrupte regime daar, nauwe banden met NSO heeft.

[Aidix]

Israel is een bevriende natie met een democratisch gekozen overheid, geen 'corrupt regime'.

[triflip]

Democratisch gekozen wilt niet zeggen dat er geen corrupt regime is. Er zijn genoeg voorbeelden te noemen.

[Centurius]

De Israëlische bevolking is dat overduidelijk niet met je eens.

[Loft]

Idd.. Ik kan er niet bij dat je broncode aan een ander bedrijf moet afgeven, en al helemaal niet aan Facebook en co met een bewezen history van slecht gebruikt en manipulatie.

Stel dan een derde onafhankelijk partij op die beide broncodes krijgt en dat gaat onderzoeken. Kost wat meer, maar dit soort info afgeven aan Facebook en Co is NOT DONE!

[bytemaster460]

Het infecteren van computers van anderen is gewoon verboden. Als je je hier schuldig aan maakt kun je natuurlijk sancties verwachten. Dat veiligheidsdiensten het ook gebruikten maakt het niet ineens legaal.

[Loft]

Ja, helemaal mee eens. Zeker hard straffen. Maar niet je broncode overdragen. Zoals ik poste: aan een derde partij okay, maar niet aan FAcebook. Dat valt in verkeerde handen bij een bedrijf dat willens en wetens ook verkeerde dingen doet. Op andere schaal en andere ideologien, maar zeker ook verkeerd.

[bytemaster460]

Zo werkt het gewoon niet. Die mogelijke andere dingen komen in andere rechtszaken ter sprake. Een rechter moet zich gewoon bij de feiten in deze zaak houden. Niet wat er mogelijk nog in andere zaken speelt. Als het ene bedrijf tegenover het andere bedrijf illegale praktijken uitvoert moet je er als bedrijf gewoon rekening mee houden dat je verplicht wordt om bedrijfsgeheimen over te dragen aan de andere partij.

[LOTG]

Inzage betekend niet per definitie dat ze alle broncode moeten overhandigen aan Meta.

Inzag kan ook onder strikte voorwaarden op een bepaalde locatie waar dus ten aller tijden ook personen bij zijn die zorgen dat die voorwaarden worden na geleefd.

Je mag het namelijk inzien, en inzien is iets anders dan krijgen en mee nemen.

[Loft]

Goede toevoeging! Zou een oplossing kunnen zijn. Ik vind heb echter een voorkeur voor een derde partij, die zou onafhankelijker moeten zijn. Een bedrijf als facebook heeft al zoveel verkeerd gedaan dat ik ze niet nog meer zou voeden.

[Littlemarc]

Zal wel een clean room zijn waar ze whatsapp ingenieurs toegang toe geven. Die mogen dan ook niks meenemen. Ik moest bij een MA al me kleren uittrekken (inclusief onderbroek) en een pakje aan die me werd vertrekt (telefoon, bril, horloge, sieraden etc. Niks mocht mee).

[MazDaMan1970]

Tuurlijk moet dat, alleen de vraag is, of de Amerikaanse overheid de macht heeft om een Israelisch bedrijf daartoe te dwingen.

[rko4u]

Als jij ethisch hacker bent, meld je de details van het lek bij de maker van de software. doe je het niet, dan ben je onethisch hacker en maak je onrechtmatig gebruik (misbruik) van een lek, die ook door nog kwaadwillender partijen misbruikt kan worden door het niet te melden. Meta dient dit lek te dichten, en dan dienen ze precies te weten hoe het wordt misbruikt. Lijkt me niet meer dan terecht dat als NSO niet goedschiks meewerkt, dat het kwaadschiks moet.

[DrPoncho]

Het is niet zomaar een bedrijf en niet zomaar broncode. Het is spyware. Er kunnen de gebruikelijke labels aan gehangen worden als kindermisbruik maar het is spyware waarmee zonder instemming ingebroken werd op iemands bezittingen en privacy. Of vind je dat groepen als LockBit ook dergelijke bescherming zouden moeten genieten?

[DrPoncho]

Nou nou rustig maar. Het was een vergelijking, geen waardeoordeel.

[Vlizzjeffrey]

Als je denkt dat de Amerikaanse overheid deze software nog niet in handen heeft, ben je zeer naïef.

[bbstreams]

dan heeft de NSO weer een rechtszaak tegen meta, want er zal ongetwijfeld een geheimhoudingsclausule aan vast zitten.

[bigoldie]

In de podcast van Darknet Diaries wordt uitgebreid ingegaan over Pegasus, maar ook wat is de NSO group. Door deze aflevering verslaafd geraakt aan Darknet Diaries.

https://darknetdiaries.com/episode/100/

[Zezura]

Tja, in elke applicatie zitten nou eenmaal kwetsbaarheden. Daar kom je niet vanaf. Daarvoor heb je meerdaagse beveiliging.

[bzuidgeest]

MeerLaagse beveiliging is niet zaligmakend. Ziet er leuk uit maar via een beetje social Engineering kom je er zo voorbij. De LastPass hack was daar een voorbeeld van. Een admin die zo gewend was om continue mfa prompts te bevestigen dat hij die van de hacker ook bevestigde....
Mfa helpt, maar het is geen enkele garantie dat het niet fout kan.

[sapphire]

Is dat ook niet gewoon een matige vorm van MFA?

Hier ook meermaals de discussie gehad met collega’s die tijdens de koffie een prompt krijgen, op ja klikken en doorgaan met de koffie.
Nou was dat gelukkig Teams die periodiek een check wilde maar dit had net zo goed een ongeoorloofde toegang kunnen zijn.

Daarom ben ik blij met de huidige manier die MS flink pushes en dat is dat de applicatie die om de MFA vraagt een getal laat zien en die voer je in in de authenticatie app.
Je kan dus alleen iets invoeren als je daadwerkelijk ziet welke applicatie het vraagt.
Zal ook niet zaligmakend zijn maar maakt mensen wel bewuster waar ze toestemming op geven dan klakkeloos ‘ja’ klikken

[bzuidgeest]

Voor de getal methode zal ook wel weer wat verzonnen worden.
Wat mij betreft is het grootste gevaar voor security, dat we het te complex maken. Ik heb een mfa app met items voor meer dan een dozijn systemen. Sommige van mijn collega's nog veel meer. Een variatie voor elk pakket.
Mensen worden er gewoon zat van en dus apatisch.
Het was hetzelfde met wachtwoorden, die werden steeds complexer en toen gingen mensen ze opschrijven omdat ze het niet konden onthouden. Toen kwamen Password managers. Makkelijk voor complexe wachtwoorden, maar bij een breach heeft de aanvaller ook meteen alles. En ook hier hetzelfde probleem met een complex wachtwoord voor totale toegang. Komt MFA erbij, en nieuwe complexiteit. En het probleem is verschoven. We moeten een keer serieus naar het gebruiksgemak van security kijken.

Ik snap wel dat mensen niet meer kijken en gewoon klikken, het is gebruiks onvriendelijk en overkill voor veel dingen.

[sapphire]

Ow dat het te complex is ben ik met je eens. Als ik alleen naar mezelf kijk:
MFA via Authenticator met code van de app
MFA via Authenticator met TOTP
MFA met applicatie eigen app met TOTP
MFA via SMS
MFA via mail
MFA via eigen app in ecosysteem goedkeuren
MFA via goedgekeurd device

En dan heeft lang niet alles nog MFA dus helemaal
Met je eens dat het onduidelijk en te complex is geworden

[Kaasrol]

MFA doet niets tegen exploitatie van softwarebugs.

[MazDaMan1970]

Dus morgen gebruik je een hangslot, overmorgen een kluis & wat gebruik je dan de dag erna?!?

[elmuerte]

De Israëlische spywaremaker wordt ervan beschuldigd dat het misbruik heeft gemaakt via een kwetsbaarheid in WhatsApp. Daardoor was het naar verluidt mogelijk om berichten te versturen waarmee schadelijke code uitgevoerd kon worden op de apparaten van de ontvangers.

Ja leuk? Maar wat doet WhatsApp er tegen om er voor te zorgen dat data niet uitvoerbaar is.

[YGDRASSIL]

Ze hebben onder andere een bugs bounty programma. Dat is al een stuk meer dan een hoop andere bedrijven...

[kftnl]

Meta doet natuurlijk heel erg veel aan de beveiliging van haar platforms. Maar dat maakt juridisch gezien niet uit. Dat jij een slecht slot op de deur hebt gaat een rechter niet meenemen bij een zaak over een inbraak.

[memphis]

Zou hiermee ook Christan Horner afgeluisterd zijn?

[WhatsappHack]

Dat lijken simpelweg screenshots te zijn van een gesprek dat vermeend met Horner werd gevoerd. Lijkt me niet dat daar peperdure spyware voor benodigd is geweest.

[OLED]

Ik mag hopen dat de leden van het internationaal gerechtshof geen whatsapp gebruiken..
Het is al erg genoeg dat Amerika sancties tegen hen persoonlijk heeft, maar helemaal vreselijk als bepaalde organisaties je privé-communicatie bezetten (pun intended)

[Jan Onderwater]

Sorry, maar iedereen die in de 20's leeft en met vertrouwelijke data omgaat, en nog steeds niet doorheeft dat je mogelijk wordt afgeluisterd of je berichtenverkeer ondervangen en niet zorgt dat je dit veilig moet doen, heeft echt de knal nog niet gehoord.
Zelfs hoge officieren van de Duitse luchtmacht zijn zo stom om in hotelkamers, open WLAN etc over de modernste wapens te spreken.

[Reactie gewijzigd door Jan Onderwater op 23 juli 2024 11:06]

[Ikbenjelly]

Israëlisch bedrijf die miljoenen per jaar verdient met pegasus spyware van meerdere landen/regeringen over de hele wereld. Verbaasd dit daadwerkelijk iemand dat Amerika graag wil dat de broncode word vrijgegeven aan meta(amerika)omdat schijnbaar gebruik word gemaakt van exploits in whatsapp een van de meest gebruikte/geïnstalleerde apps ter wereld....was er maar echt een privacy setting om je data daadwerkelijk af te schermen van apps.

[Reactie gewijzigd door Ikbenjelly op 23 juli 2024 11:06]

[SuperDre]

En jij denkt dat de veiligheidsdiensten van de VS niet al gewoon beschikking heeft over die broncode? Ze zijn zelf afnemers ervan.
Blijf het nog steeds raar vinden hoe een amerikaans gerechtshof kan beslissen dat een bedrijf uit een ander land iets moet geven.

[Ikbenjelly]

VS heeft geen controle over wie pegasus gebruikt en daar gaat het juist om...team Amerika world Police....tegenwoordig whatsapp/ facebook voorgeïnstalleerd op bijna elke android phone...als meta toegang heeft tot broncode kan Amerika ook makkelijker meekijken..

[JoHnnY-Btm]

enfin

WhatsApp wil met de broncode bewijzen dat Pegasus 'aangepast kan worden voor verschillende doeleinden', zoals het onderscheppen van informatie die van en naar telefoons wordt gestuurd, het maken van screenshots en het opslaan van de browsegeschiedenis.

de NSO group alias Pegasus maakt niet alleen gebruik van kwetsbaarheden van Whatsapp maar ook van Facebook, TikTok, Instagram, Microsoft, Apple, Google en welke tech bedrijf er ook is, ik meen zelfs banken en andere overheidsinstellingen.

Het bedrijf beweert dat zijn spyware door overheden wordt gebruikt om terrorisme, kindermisbruik en andere vormen van criminaliteit tegen te gaan

de enige overheid die Pegasus gebruikt is Israël en aanhangende groeperingen geallieerd aan Israël.
Dat zij "beweren" om met Pegasus terrorisme etc. tegen te gaan klopt in zinnen dat het niet Israël kan of zou kunnen schaden echter is de werkelijke uitwerking van Pegasus dat zij zowaar dit systeem inzetten om kwetsbaarheden van de vele tech bedrijven te infiltreren en zo mogelijk aan te vallen. dus de bewering klopt niet