Staatstrojaner: Journalist der New York Times mit Pegasus gehackt
Vielleicht hätte ihn der Hack seines Smartphones mit dem Staatstrojaner Pegasus nicht überraschen sollen, meint der New-York-Times-Journalist Ben Hubbard. Immerhin hätte Saudi Arabien die Telefone von Dissidenten im In- und Ausland gehackt und einige von ihnen ins Gefängnis gesteckt oder der Herrscher von Dubai die Telefone seiner Ex-Frau und ihren Anwälten mit der Software überwacht. Dennoch sei die Nachricht beunruhigend gewesen.
Die ersten Angriffe fanden bereits im Jahr 2018 statt. Damals erhielt Hubbard verdächtige Whatsapp-Nachrichten, die ihn zu einem Protest vor der saudi-arabischen Botschaft in Washington einluden oder auf eine vermeintliche Berichterstattung über ihn selbst hinwiesen. Da Hubbard die Links nicht anklickte, infizierte er sich damals auch nicht.
2020 und 2021 wurde das iPhone des Journalisten gehackt
Doch eine Analyse seines iPhones durch das Citizen Lab der Universität Toronto entdeckte(öffnet im neuen Fenster) weitere Angriffe in den Jahren 2020 und 2021. Diesmal musste der Journalist nicht mehr auf Links klicken, um sich zu infizieren, sondern wurde mit sogenannten Zero-Klick-Exploits angegriffen. Eine Interaktion mit den Nachrichten war nicht mehr notwendig. Hubbards Smartphone wurde mit dem Staatstrojaner Pegasus übernommen.
Für die Attacken wurden zwei verschiedene Zero Days in iMessage genutzt, die mit iOS 14 und iOS 14.8 behoben wurden.
Hinter den ersten beiden Angriffen steckte vermutlich Saudi-Arabien, da die Betreiber der entsprechenden Angriffsserver zuvor eine Reihe von saudischen Aktivisten attackiert hatten. Es sei fast unmöglich die Täter mit Sicherheit zu identifizieren, schreibt Hubbard in der New York Times(öffnet im neuen Fenster) .
Auf Nachfrage der New York Times bestritt die NSO Group die Angriffe. Der Journalist sei "kein Ziel von Pegasus für einen der Kunden von NSO" gewesen. Allerdings tauchte eine Telefonnummer von Hubbard auch in einem geleakten Datensatz auf, der 50.000 Telefonnummern enthält, bei denen es sich um potenzielle Ausspähziele von NSO-Kunden aus den Jahren 2016 bis 2021 handeln soll. In der Analyse wird das Vorgehen gar als "Staatsterror" beschrieben.
Staatstrojaner gegen Quellenschutz
"Als Korrespondent der New York Times, der über den Nahen Osten berichtet, spreche ich oft mit Menschen, die große Risiken eingehen, um Informationen weiterzugeben, die ihre autoritären Machthaber geheim halten wollen. Ich treffe viele Vorsichtsmaßnahmen, um diese Quellen zu schützen, denn wenn sie erwischt würden, könnten sie im Gefängnis landen oder sterben," schreibt Hubbard. Doch gegen Staatstrojaner wie Pegasus ist er machtlos.
"Haben sie meine Kontakte gestohlen, damit sie meine Quellen verhaften können? Haben sie meine Nachrichten durchforstet, um zu sehen, mit wem ich gesprochen habe? Haben sie Fotos von meiner Familie am Strand durchforstet?," fragt der Journalist. Beantworten könnten diese Fragen jedoch nur die Angreifer.
Auch Deutschland nutzt den Staatstrojaner Pegasus
In den letzten Wochen wurde bekannt, dass sowohl das Bundeskriminalamt (BKA) als auch der Bundesnachrichtendienst (BND) ebenfalls den umstrittenen Staatstrojaner der NSO Group verwenden. Kurz davor hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) offiziell vor der Schadsoftware gewarnt . Die Behörde sieht demnach kaum Möglichkeiten, sich vor einem Angriff mit dem Pegasus-Trojaner zu schützen. Auch die Polizei warnte intern vor den Gefahren des Trojaners.
Bereits seit 2019 läuft eine Klage von Whatsapp-Eigner Facebook gegen die NSO . Der Vorwurf lautet, NSO habe versucht, sich über eine später geschlossene Sicherheitslücke bei Whatsapp Zugriff auf Hunderte Smartphones zu verschaffen. Unter den Zielpersonen seien Journalisten, Anwälte, Dissidenten, Menschenrechtler, Diplomaten und Regierungsbeamte gewesen.