«Пегас»

Глава 13 Некоторые вещи, которые вы пропустили раньше

Темнота опускалась на Будапешт бодрым вечером на третьей неделе апреля, когда Саболч Паньи шел через роскошный вестибюль отеля в центре города на встречу с парой своих героев. Знаменитые репортеры-расследователи Бастиан Обермайер и Фредерик Обермайер только что прибыли из Мюнхена на секретную конференцию с Саболчем и его редактором в Direkt36 Андрашем Петё. Журналисты Süddeutsche Zeitung ждали наверху, в арендованной комнате, с компьютером, полным тщательно защищенных и зашифрованных данных, готовые прочитать Саболчу и Андрашу информацию о проекте "Пегас".

Сам отель, по воспоминаниям Саболча, был немного удручающим. "Отвратительный интерьер, словно дешевая подделка под отель Трампа, с кучей фальшивых золотых украшений и всего прочего", — говорит он. "Я очень нервничал. И в то же время радовался, что, наконец, откроется какой-то большой секрет".

Саболчу и Андрашу пришлось преодолеть несколько сложных препятствий уже после того, как они прибыли в назначенный зал. Сначала журналисты должны были отключить свои мобильные телефоны и другие устройства и убрать их в другую комнату, где электроника будет находиться на протяжении всей встречи. Кроме того, они должны были пройти экспресс-тест на возможную инфекцию Covid, а затем охладить свои пятки в ванной комнате до получения результатов. Так Саболч и Андраш прождали последние пятнадцать минут, все еще оставаясь в неведении относительно деталей проекта "Пегас" и своего места в нем. Для Саболча Паньи это были последние минуты и без того долгого и тревожного ожидания.

Прошел месяц с тех пор, как я впервые сообщил Саболчу по удаленному соединению о том, что в результате проведенной Лабораторией безопасности экспертизы были обнаружены доказательства того, что его iPhone был успешно заражен шпионским ПО. В то время я не мог сообщить ему много подробностей — ни о NSO, ни о Pegasus. Я до сих пор помню мгновенную реакцию Саболча: первым его побуждением было обратиться к своим источникам. У Саболча были сотни источников, многие из которых находились в разведке, политических и деловых кругах Венгрии, и его работа затронула множество чувствительных нервов в Будапеште и его окрестностях за последние несколько лет.

За несколько дней до того, как мы предупредили его о заражении шпионским ПО, Саболч опубликовал статью объемом 9 000 слов, в которой подробно рассказал о росте дипломатических и финансовых связей венгерского правительства с Китаем за одиннадцать лет пребывания премьер-министра Виктора Орбана у власти. Репортаж Саболча в Direkt36 под заголовком "Как восточные открытия Орбана привели к китайским шпионским играм в Венгрии" представлял собой многомесячное расследование, в котором были собраны документы и данные, а также около шестидесяти интервью с официальными и неофициальными источниками, большинство из которых не были названы в целях их защиты. Доклад поставил правящую партию Орбана "Фидес" в неловкое положение.

Смысл этой истории заключался в том, что Китай обманул Орбана и Фидеса невыполнимыми обещаниями крупного финансирования и льготных кредитов для правительства Венгрии, испытывающего нехватку средств. Из дружественной Китаю политики Орбана "Восточное открытие" мало что вышло, кроме возможности для Китая заполнить Венгрию тысячами прозелитов и гражданских шпионов и закрепиться в ЕС в поисках прибыли. "Они все делают ради денег", — объяснил Сабольчу неназванный венгерский дипломат, ранее работавший в Пекине.

Саболч проанализировал одно крупное венгеро-китайское сотрудничество последнего десятилетия — реконструкцию железнодорожной линии между Белградом и Будапештом стоимостью 1,9 млрд евро — и пришел к выводу, что оно оказалось выгребной ямой с мизерной прибылью для венгров. "Контракт на строительство выиграл китайско-венгерский консорциум, в котором два китайских государственных железнодорожных строителя объединили силы с компанией Лёринча Мешароша, друга детства Виктора Орбана и самого богатого бизнесмена Венгрии", — пишет Саболч. Как сказал один бывший высокопоставленный сотрудник министерства иностранных дел, это также показывает, что "Восточное открытие" в конечном итоге оказалось всего лишь "дымовой завесой ниндзя, созданной для сокрытия венгерских поборов и коррупции". Национальная экономика Венгрии вряд ли выиграла от прокитайского поворота во внешней политике, от него выиграли только близкие к правительству деловые круги".

В тот день, когда мы сообщили ему об атаках шпионского ПО на его iPhone, Саболч заканчивал работу над материалом, в котором подробно описывалась недавняя авантюра с "Восточным открытием", также, как он напишет, "основанная на модели инвестиций в железную дорогу Будапешт-Белград". Он надеялся опубликовать материал в начале апреля.

Тридцатипятилетний репортер-расследователь знал, что эти истории могут иметь неприятные личные последствия, но он уже привык к тому, что стал объектом гневных обвинений со стороны ключевых фигур в Fidesz. Главный международный представитель премьер-министра уже назвал Саболча врагом государства, публично обвинив его в "орбанофобии и венгерофобии". Апологеты "Фидес" в СМИ время от времени распространяли ложь о том, что Саболч был иностранным шпионом, скорее всего, из ЦРУ.

Всю свою журналистскую карьеру Саболч Паньи провел внутри затягивающейся петли мягкого авторитарного правления Орбана. С момента вступления в должность в 2010 году премьер-министр показал себя хитрым тактиком. Он использовал избирательные реформы, чтобы обеспечить "Фидес" супербольшинство в венгерском парламенте, а затем использовал этих дружественных законодателей для переписывания конституции. Бескровный законодательный переворот подорвал демократические институты, подорвал верховенство закона и принес власть самому Орбану. "Он замаскировал свое расчленение демократии пакетом законов, написанных непроницаемым юридическим языком, расшифровать который может надеяться лишь горстка экспертов", — говорит один из обозревателей.

Премьер-министр и его приспешники из Fidesz также работали над подавлением СМИ, критикующих правительство. Репортеров, которые пытались докопаться до правды о коррупции и злоупотреблениях правящей партии, не сажали в тюрьму, не подвергали физическому воздействию и не обвиняли в клевете, как это было в Марокко, но за ними следили.

"Эти вещи происходят уже четыре года", — сказал нам Саболч в 2021 году. "Был один случай, когда я встречался с источником, но в другом городе. И когда я собирался с ним встретиться, за мной велось физическое наблюдение, то есть эти, знаете, классические коротко стриженные, мускулистые парни в коричневых кожаных куртках просто стояли там, а потом шли позади меня. А после встречи с этим источником, когда я ехал обратно в Будапешт на поезде, я сидел в пустом вагоне, и тут появился такой же парень. И он был там на протяжении всей поездки, более часа, просто стоял в дверях кабины, не двигаясь. У него не было никакого багажа. Это, как мы его называем, "демонстративное наблюдение".

"Они хотят, чтобы вы знали, что следят за вами. Это немного угрожающе, но это скорее сигнал: "Мы следим за вами. Мы знаем, что ты делаешь. Мы знаем, с кем вы встречаетесь". И это физическое наблюдение повлияло на историю, над которой я работал, потому что я не мог использовать полученную информацию, поскольку, очевидно, встреча была скомпрометирована. И я не хотел, чтобы у этого источника возникли проблемы".

Саболч никогда не считал себя технически подкованным, но он всегда был осторожен. Он пользовался последними моделями iPhone из-за репутации Apple в области безопасности и избегал электронных устройств китайского производства, которые почти наверняка имели "черные ходы" в операционном программном обеспечении. Он пользовался зашифрованными сервисами обмена сообщениями, такими как Signal и Wickr. Он пользовался VPN. Когда один из сотрудников венгерской разведки предупредил Саболча, что конкурирующее агентство может использовать цифровые средства для шпионажа за ним, это не показалось ему поводом для паники. Саболч никогда не считал службы безопасности Орбана особенно компетентными или энергичными.

Но когда я сообщил ему, что кто-то использует его собственный iPhone, чтобы тайно шпионить за ним, что он носит с собой их оружие для них, это было похоже на квантовый скачок в возможностях и намерениях; это потрясло его. В отличие от демонстрационного наблюдения, это было сделано скрытно, без сигнала и без возможности узнать, что именно нужно спецслужбам и что они узнали.

"Я очень боялся, что мои источники могут оказаться под угрозой, и у них могут возникнуть проблемы, — говорит он, — поэтому я очень волновался".

Саболч чувствовал себя обязанным сообщить некоторым источникам, которые он использовал в своих китайских репортажах, что их связь могла быть перехвачена, но его редактор в Direkt36 предостерег его от этого. "Ну же, не делайте этого", — посоветовал Андраш. "У нас сейчас недостаточно информации. А эта история, я имею в виду историю с киберслежкой, просто слишком деликатная".

Клаудио тоже удалось его немного уговорить. Клаудио заверил его, что кибернаблюдение велось в течение определенного периода времени, с апреля по декабрь 2019 года. Не было никаких признаков недавнего заражения или, как называл это Саболч, "инвазии". Поэтому Саболч держал эту тревожную информацию при себе, принимал все дополнительные меры предосторожности, рекомендованные Клаудио, и убедил Лабораторию безопасности каждые несколько недель проводить новую экспертизу его телефона, просто чтобы убедиться в этом.

Наконец, месяц спустя, в роскошном позолоченном отеле в Будапеште, Саболчу предстояло узнать, что именно произошло внутри его iPhone и как это связано с гораздо более масштабной историей киберслежки.

"Еще раз извините, что не можем рассказать обо всем, потому что большая часть этого будет раскрыта, весь масштаб нашего проекта, на нашей встрече в Париже в мае", — сказал Фредерик Обермайер Сабольчу и Андрашу в качестве вступления. "Пока же мы остановимся на том, что известно из Венгрии. Мы знаем, что несколько сотен номеров из Венгрии стали мишенью. У нас есть основания полагать, что их целью был государственный субъект из Венгрии".

Часть роли Direkt36, объяснили Фредерик и Бастиан, будет заключаться в том, чтобы помочь найти в наших данных людей, которые, возможно, захотят позволить нам провести экспертизу их мобильных телефонов, — венгров, которым можно будет доверять, что они будут хранить молчание, пока мы завершаем расследование. Фредерик и Бастиан перечислили несколько отобранных венгерских целей, которые уже были определены по именам: например, одного из ключевых министров Орбана, ныне находящегося в отставке ("Он даже не является явным критиком", — заметил Андраш), и члена одной из самых важных оппозиционных партий Венгрии.

"Ты собираешься ему рассказать?" спросил Андраш у оппозиционного политика.

"Мы бы предпочли сначала поговорить с ним", — сказал Фредерик. "Если у нас будет очень хорошее предчувствие, и если вы также согласитесь, что ему можно доверять, но мы, прежде всего, оставим решение за вами".

"Я скептически настроен, — сказал Бастиан, опасаясь, что бывший министр не захочет молчать, пока мы не расскажем о нем, — потому что он очень откровенен".

"Я не очень хорошо его знаю, — сказал Андраш. "Я разговаривал с ним всего пару раз. Но вот в чем опасность: он любит поговорить. И когда ты с ним разговариваешь, он рассказывает тебе все".

"Хорошо, — добавил Фредерик, — значит, это не выход".

В этот момент Фредерик открыл свой ноутбук и продемонстрировал Саболчу и Андрашу настоящую жемчужину в нашем распоряжении. Он достал непритязательную на вид карту памяти, подключил ее к USB-порту и получил доступ к нашему списку с протоколами, которые Клаудио и Донча разработали для проекта "Пегас". Файл был зашифрован, и Фредерик ввел три длинных и сложных пароля. Вуаля. Наконец-то Сабольч и Андраш смогли увидеть сотни выбранных номеров сотовых телефонов, распределенных по категориям под заголовком "Венгрия". Некоторые из них были названы по имени, а некоторые — нет. Фредерик и Бастиан собирались отправить резервные копии отдельных файлов контактов Саболча и Андраша в лабораторию безопасности в Берлине, чтобы посмотреть, смогут ли Клаудио и Донча сопоставить другие имена с неопознанными венгерскими номерами телефонов из списка.

Фредерик пролистывал список, пока Саболч и Андраш искали знакомые имена. "О, она бывший посол в Китае, а теперь советник Орбана, советник по внешней политике", — сказал Саболч, указывая на одно знакомое имя. "У меня есть ее номер".

"Оооо, хорошо", — сказал Андраш. "Он занимается финансами. Инвестиционный банкир".

"Мне кажется, очень интересно увидеть, сколько людей находятся там не по криминальным, а по чисто политическим причинам", — сказал Бастиан. "Для меня, жителя Германии, это большой скандал".

"Уверен, что в Венгрии он будет один", — добавил Саболч.

Саболч ощутил дежа вю, заново переживая странные ощущения, которые охватили его, когда он впервые узнал, что стал мишенью для кибернетического оружия наблюдения. "Я был очень взволнован тем, что мне представили эту базу данных и появилась возможность работать с ней, но в то же время это было очень нервирующе", — рассказывал он позже. "Я запомнил ber, особенно имя этого человека, который работал в правительстве самого Виктора Орбана. Это старый, пожилой, очень уважаемый, очень добрый экономист, которого уважали во всем политическом спектре. И увидеть его имя среди жертв слежки было самым большим шоком, потому что… в принципе, нет никаких правонарушений, к которым он мог бы быть причастен".

"А потом увидел в том же списке имена очень сомнительных людей: Венгерские мафиози, которые в девяностые годы занимали все полицейские сводки и попадали в вечерние новости. Мафиози, занимающиеся организованной преступностью и насилием. Несколько арабских и русских имен, которые, как вы знаете, мы подозреваем в том, что они являются законными объектами контрразведывательных или антитеррористических расследований. И вот, наконец, я вижу свое имя среди подозреваемых в терроризме или наркоторговцев. Это шокирует, что есть кто-то, кто управляет системой, для кого не имеет значения, следят ли они за серьезными преступниками или молодыми журналистами-расследователями вроде меня".

Перед тем как прервать встречу на ночь, Фредерик и Бастиан представили Саболчу более подробную информацию, полученную в результате экспертизы, которую Клаудио и Донча провели по его телефону. "По сути, они составили временную шкалу того, что видели в вашем телефоне, — объяснил Фредерик. Временные метки кибератак в 2019 году были определены с точностью до дня, часа и минуты.

Саболч достал свой календарь, сверяясь с графиком. Он вспомнил, что занимался расследованием развивающихся отношений между Трампом и Орбаном, в ходе которого много говорилось о продаже оружия. "В тот день я встречался с торговцем оружием, — сказал он, указывая на одну из строк в хронологии из Лаборатории безопасности.

"Этот?" спросил Фредерик. "В Венгрии?"

"Да, в этой истории был и американский, и российский угол зрения".

"А венгерский?" — спросил Фредерик.

"И венгерский тоже", — пояснил Саболч. "А также с израильским уклоном. Парень, с которым я встречался, заметил, что рядом с нами сидит человек из какого-то посольства, который, как известно, работает на разведку этой иностранной страны".

"О, ничего себе", — сказал Фредерик.

И Бастиан надавил на Саболча. "Вы можете нам сказать?"

"Это были Соединенные Штаты".

Саболч хотел прояснить последний вопрос, касающийся криминалистики. Клаудио сказал ему, что тот, кто заразил его iPhone, вывел всего лишь от 50 до 100 мегабайт данных. "Полагаю, это были не фотографии или видео, а скорее тексты", — сказал Саболч, но ни Фредерик, ни Бастиан не могли сказать наверняка.

"Мы должны опасаться худшего, — объяснил Фредерик.

"Я предполагаю, что это журналы чата, — сказал Саболч почти умоляюще.

"Предполагается, что все, что вы видели на своем мобильном телефоне, было доступно, а также все, что вы говорили и писали", — говорит Фредерик. "Даже сообщение Signal, которое теоретически зашифровано, может быть прочитано с помощью этой технологии. Ведь когда вы его набираете, оно, по сути, перехватывается там. То есть его не перехватят по дороге, когда оно уже зашифровано. Но во время ввода".

"Но он не может получить доступ к зашифрованным сообщениям, которые я получаю и читаю?" спросил Саболч. "Только то, что я печатаю?"

"Они могут получить доступ ко всему, что вы видите", — сказал ему Фредерик. "Если вы получаете сообщение Signal, которое было зашифровано по дороге, как только вы его прочитаете и увидите здесь [на своем телефоне], они смогут получить к нему доступ".

"Хорошо, — сказал Саболч, улыбаясь сквозь явную боль.

"В этом и заключается огромная опасность, — сказал ему Фредерик, — потому что все мы, журналисты, чувствовали себя в некоторой безопасности, даже после всех разоблачений АНБ Сноудена. Что как только мы используем такую технологию, как Signal, наши коммуникации становятся безопасными. Это огромная угроза для всех нас и наших источников".

Когда на следующий день Фредерик и Бастиан явились в офис Direkt36 на вторую встречу, Клаудио и Донча уже сопоставили более десятка номеров из списка контактов Саболча с номерами в наших данных. Саболч взял один из совпавших номеров и набрал его в своем телефоне. "Что ж, — вздохнул он, — похоже, это наш коллега, работающий здесь".

"В газете?" спросил Бастиан. "У нас нет названия для этого номера".

Саболч определил, что номер принадлежит Андрашу Сабо, который работал в соседней комнате.

"Итак, второй коллега из Direkt36", — сказал Бастиан. "Это раздражает".

Саболч вызвал Андраша Сабо в конференц-зал, чтобы получить его разрешение на проведение экспертизы. Затем команда загрузила резервную копию iPhone Андраша в лабораторию безопасности, и через час или около того были получены предварительные результаты. Фредерик представил результаты Саболчу, Андрашу Петё и Андрашу Сабо. Это была практически половина редакции Direkt36.

"Похоже, что он был скомпрометирован 13 июня 2019 года и еще раз 24 сентября того же 2019 года", — сказал им Фредерик.

"Я?" сказал Андраш Сабо, выглядя ошеломленным.

"Да, ты".

"Ух ты!"

"Думаю, было бы неплохо просмотреть ваш календарь и воспоминания", — предложил Фредерик.

"У меня проблема", — объясняет Андраш Сабо. "В прошлом году венгерская полиция пригласила меня в качестве свидетеля по одному делу, и перед тем как эти полицейские пришли за мной, я удалил много вещей из своего календаря".

Саболч уже сканировал архивы Direkt36, чтобы найти материалы, которые его коллега опубликовал в соответствующие месяцы 2019 года. Незадолго до первой кибератаки Андраш опубликовал расследование о министре связи Орбана. Чиновник Fidesz и его жена получили в подарок роскошные автомобили от компании, связанной с Россией. Затем он написал статью об оппозиционере, подозреваемом в финансовых махинациях. Затем — о контракте на строительство венгерской атомной электростанции, который был отдан российской корпорации "Росатом".

Андраш объяснил, что у него есть важные анонимные источники по истории с атомной станцией.

"Это может быть кто-то, кто пытается выяснить, кто ваши источники", — предположил Фредерик. "Или, может быть, ваши источники сообщили правительству".

"Может быть", — сказал Андраш. Он не знал, что и думать. Но для команды Direkt36 было ясно несколько вещей. Это будет большая история, и работы предстоит много.

"Думаю, было бы неплохо, если бы вы еще раз просмотрели свои записи и подумали, какие источники могут быть в опасности", — предложил Фредерик.

"Только эти два дня?" спросил Андраш.

"Насколько мы сейчас понимаем систему, заражения происходили именно в эти дни", — сказал им Фредерик. "Но это не значит, что только в эти дни. Может быть, кто-то слушал и читал и после этого".

Андраш Петё, как всегда, редактор, напомнил Саболчу и Андрашу Сабо, что они должны держать всю эту информацию между собой. Пока, сказал он, будет лучше, если они не скажут об этом никому из своих коллег.

"Даже не записывайте в свой компьютер, что эта встреча состоялась", — предостерег Фредерик. "Ни с кем не говорите об этом".

ПОДТВЕРЖДЕНИЕ заражения iPhone Андраша Сабо ознаменовало конец очень продуктивного месяца в Лаборатории безопасности в Берлине. Включая недавнее подтверждение iPhone, принадлежащего репортеру из Мексики, Клаудио и Доннча за это короткое время нашли следы Pegasus на десяти разных мобильных телефонах, по крайней мере в четырех разных странах. По опыту Клаудио, процент успеха был просто зашкаливающим. Даже те несколько iPhone, которые оказались чистыми, помогли команде кибербезопасности Amnesty International, состоящей из двух человек, составить каталог миллионов законных названий процессов в iOS или в приложениях, установленных из магазина Apple. "Ни на одно из них нет никакой документации", — сказал нам Клаудио. "Apple не публикует подробностей. Так что процесс понимания и знакомства с операционной системой [iPhone] тоже был".

Внезапный наплыв криминалистических анализов увеличил список легитимных имен процессов iOS в Лаборатории безопасности, но также увеличил и список нелегитимных имен процессов, сгенерированных Pegasus. В глаза бросался тот факт, что кто-то в NSO ловко переименовывал вредоносные процессы Pegasus, чтобы замаскировать атаки, добавляя или вычитая или перемещая букву здесь, меняя цифру там. Например, легитимный ckkeyrolld от Apple стал вредоносным ckkeyrollfd от NSO; fseventsd стал eventsfssd; nehelper стал nehelprd; CommCenterRootHelper стал CommsCenterRootHelper; xpcroleaccountd стал roleaccountd. "Чем больше мы смотрим на телефоны, — сообщает Доннча, — тем больше собираем показателей. Мы как бы создаем базу данных индикаторов".

Увеличение этой базы данных имело решающее значение. Вводя в свой мозг этот растущий список имен вредоносных процессов, криминалистический инструмент Security Lab учился побеждать, как позже сказал один из наших партнеров, в "самой сложной в мире игре "Найди отличия"".

В конце апреля Клаудио и Доннча явно обрели уверенность в своем развивающемся криминалистическом инструменте, и на то были веские причины. Они только что обнаружили следы атаки Pegasus на iPhone индийского журналиста М. К. Вену, который казался чистым, когда они впервые проанализировали его еще в марте. Но оказалось, что по крайней мере одно имя процесса, сгенерированное Pegasus, которое Клаудио и Доннча обнаружили в iPhone Ленаига Бреду — otpgrefd — также находилось в резервной копии iPhone М. К., хранившейся на диске в Security Lab. "Как только вы чувствуете, что открыли что-то новое, чего не знали раньше, вы возвращаетесь назад и просматриваете предыдущие улики", — сказал нам Клаудио. "Возможно, вы обнаружите какие-то вещи, которые раньше упускали или интерпретировали по-другому".

Стали вырисовываться закономерности и сходства, связывающие конечных пользователей Pegasus. Клаудио и Донча обнаружили, что множество вредоносных шпионских процессов, созданных NSO, работали на множестве зараженных iPhone, независимо от того, находился ли клиент NSO в Индии, Марокко, Мексике, Венгрии или любой другой стране из нашего списка.

Недавняя экспертиза также выявила некоторые различия в сигнатурах клиентов NSO, что позволило отследить и подтвердить, откуда именно исходили конкретные цифровые атаки. Как оказалось, каждый лицензиат NSO, судя по уликам в телефонах, использовал свой собственный набор сфабрикованных учетных записей iCloud для совершения атак. Клаудио и Доннча обнаружили множество случаев, когда на ранних этапах использования Pegasus iPhone тайно связывались с созданными NSO учетными записями iCloud с определенными адресами электронной почты. Записи этих контактов в iCloud или iMessage, все из которых использовали вымышленные имена, затем записывались в файл в глубине телефона. С жертвами марокканских клиентов NSO могли связываться такие подделки, как bergers.o79@gmail.com или naomiwerff772@gmail.com или bogaardlisa803@gmail.com или linakeller@gmail.com, с жертвами индийских клиентов — lee.85.holland@gmail.com или bekkerfred@gmail.com или taylorjade0303@gmail.com. Телефон М. К. Вену и двух других клиентов из Индии был получен по адресу herbruud2@gmail.com. Венгерские цели Саболч Паньи и Андраш Сабо тайно связывались с вымышленной Джессикой vies1345@outlook.com и ее вымышленной сестрой emmadavies8266@gmail.com.

Глубокий и все более широкий криминалистический анализ также позволил Клаудио и Доннче по-новому взглянуть на возможности инженеров и кодеров, которые разрабатывали и создавали систему Pegasus. Гениальность технической команды в штаб-квартире NSO к северу от Тель-Авива не проявилась во вредоносном ПО, которое лицензиаты Pegasus использовали для шпионажа за iPhone и его владельцем. Отчасти "дерьмовое", — говорит Клаудио, когда на него нажимают. "По-настоящему сложная часть Pegasus — это не сама вредоносная программа Pegasus", — говорит Донча. "Но эксплойт, фактический способ внедрения шпионского ПО в телефон, довольно сложен, и это то, что постоянно меняется".

Сложное оружие, которое система Pegasus от NSO использовала для внедрения своих вполне обычных шпионских программ, было разработано для использования уязвимостей, скажем, в программном обеспечении Apple и приложениях, запущенных на iPhone. Лаборатория безопасности уже обнаружила эксплойты, предназначенные для атак через iMessage и Apple Photos. Такое оружие известно в сфере кибербезопасности как "эксплойты нулевого дня", потому что именно столько времени технологические компании вроде Apple, Google или Microsoft знают о проблеме, и именно столько времени у них есть, чтобы устранить проблему до атаки. Ноль дней! Ни одного. Уже слишком поздно.

Если эксплойту удастся обойти достаточное количество средств защиты и технических мер, то в конечном итоге он сможет сделать джейлбрейк устройства и записать в iPhone любой вредоносный код, который пожелает. Но, как объяснили нам Клаудио и Доннча, одного эксплойта редко бывает достаточно, чтобы сломать современную киберзащиту и получить доступ к устройству. Исследователям часто требуется цепочка из трех или более эксплойтов, чтобы сделать трюк. Это означает, что для разработки такого оружия требуется много человеко-часов и денег, и все они начинаются с того, что действительно опытный хакер или киберисследователь обнаруживает слабое место в программном обеспечении Apple и делает так, чтобы его держали в секрете до тех пор, пока не смогут продать тому, кто больше заплатит.

Клаудио и Донча достаточно разбирались в рынке "нулевых дней", чтобы понять, что одна надежная цепочка эксплойтов может стоить миллион долларов или больше. Они также видели и слышали достаточно, чтобы поверить, что NSO, скорее всего, тратит значительные средства на собственные исследования для разработки собственного оружия нулевого дня. Масштабы деятельности NSO — платящие клиенты в десятках стран — почти требовали этого. "Для NSO совершенно оправданно тратить пять миллионов в год на эксплойт для iPhone, — сказал нам Клаудио, — если они могут продать [Pegasus] пятидесяти разным клиентам, и все они заплатят миллионы".

Увиденное убедило Клаудио в том, что исследователи, кодеры и инженеры NSO ведут постоянную игру в прятки с одной из самых заботящихся о безопасности компаний на планете — Apple.

"Apple ставит заплатки, когда узнает об этом", — говорит Клаудио. "Но Apple может бороться только с теми, о ком знает. Если они не знают об этом, они не могут исправлять". Модель Apple заключается в том, чтобы исправлять то, что можно исправить, но при этом создавать как можно больше трудностей".

Помните, когда вы говорите: "Мне нужен один эксплойт для iMessage", — это никогда не один эксплойт", — пояснил он. Когда iPhone взламывают с помощью эксплойта для iMessage, они используют, возможно, три, четыре, пять различных эксплойтов, упакованных в один".

"В случае с iPhone приходится идти на компромисс со многими вещами, что значительно усложняет задачу. Им приходится нарушать целый ряд [различных] мер безопасности, которые Apple ввела специально, чтобы создать дополнительные сложности, прежде чем вы сможете успешно получить полное право собственности на устройство".

"Сложность взлома iPhone заключается в том, что вам нужно иметь действующий эксплойт для всех этих различных уровней безопасности, и все они должны быть надежными и работать одновременно. Им приходится подрывать все остальные компоненты операционной системы. Один из них может быть исправлен ночью, и им нужно найти что-то другое, чтобы заменить его. Так что все не так просто. Это довольно сложный процесс".

У нас с Лораном все еще оставались серьезные опасения — Омар Ради и Хадиджа Исмайлова в первую очередь, — но в апреле проект "Пегас" продвинулся далеко вперед как в области судебной экспертизы, так и в журналистике. Мы нашли новых важных партнеров, подтвердили ряд инфекций, определились с ключевыми сюжетными линиями. Мы уже начали планировать встречу с гораздо более широким кругом партнеров, которые помогут нам в работе над этими историями. Кроме того, я чувствовал, что мы начинаем понимать, что послужило толчком к подъему и росту НСО. А также последовавший за этим впечатляющий размах. Самая известная (и печально известная) в мире компания по киберслежке — от ее основателей до изможденных исследователей — явно осознала силу и возможности уязвимости. Можно сказать, что они построили всю свою бизнес-модель на уязвимости. Они сделали это в стране, которая научилась жить со страхом и побеждать его.