De iPhone van de verbannen Russische onderzoeksjournalist Galina Timchenko is begin dit jaar besmet geraakt met de Pegasus-spyware, zo stellen Citizen Lab en Access Now op basis van onderzoek. Timchenko ontving eind juni een bericht van Apple dat haar iPhone mogelijk het doelwit van statelijke actoren was. Uit onderzoek van Access Now en Citizen Lab bleek dat de telefoon rond 10 februari met de Pegasus-spyware was geïnfecteerd.

Pegasus is door NSO Group ontwikkelde spyware waarmee het mogelijk is om slachtoffers via hun microfoon en camera te bespioneren en gesprekken en communicatie via WhatsApp, Gmail, Viber, Facebook, Telegram, Skype, WeChat en andere apps af te luisteren en onderscheppen, alsmede de locatie te bepalen. De spyware wordt al zeker sinds 2016 via zeroday-aanvallen verspreid.

Voor de aanval op het toestel van Timchenko werd gebruikgemaakt van een zero-click exploit, waardoor er geen enkele interactie van de journalist was vereist. De aanvallers maakten hiervoor gebruik van de PwnYourHome-exploit. Dit is een tweetraps-exploit. Het eerste deel betreft de HomeKit-functionaliteit binnen iPhones, gevolgd door misbruik van een iMessage-proces.

HomeKit is een framework van Apple waarmee gebruikers apparaten in hun huis kunnen bedienen, zoals lampen, deuren en thermostaten. Zelf wanneer gebruikers nog nooit van HomeKit hebben gebruikt kunnen ze via de exploit worden aangevallen. Citizen Lab maakte afgelopen april het bestaan van de exploit kenbaar. Om gebruikers tegen deze exploit te beschermen voerde Apple verschillende beveiligingsverbeteringen aan HomeKit door.

Citizen Lab meldde vorige week dat aanvallers twee andere zerodays hebben gebruikt om iPhones stilletjes met de Pegasus-spyware te infecteren. De gebruikte exploit wordt 'BlastPass' genoemd. Zowel BlastPass als PwnYourHome werken niet als iPhone-gebruikers de Lockdown Mode hebben ingeschakeld, aldus de onderzoekers.