Pegasus e FORCEDENTRY su iPhone
Che cosa dicono le fonti su Pegasus su iPhone: falle sfruttate, correzioni Apple di settembre 2021 e semplici riflessi per i dipendenti.
In 30 secondi
- Che cosa vuole l'attaccante
- Eseguire il proprio codice sul dispositivo, poi passare da un accesso limitato a diritti estesi1.
- Il riflesso
- Installare subito gli aggiornamenti, perché spesso contengono correzioni di vulnerabilità1.
- Se è già successo
- Avvisare subito il servizio di sicurezza dell'azienda e non cercare di ripulire il telefono da soli.
Di cosa si tratta
Pegasus compare nel framework MITRE ATT&CK come «Pegasus for iOS», un software che sfrutta vulnerabilità di iOS per ottenere privilegi più elevati1. Per un dipendente la conseguenza è semplice: un telefono aggiornato è più difficile da compromettere.
Questa scheda si limita a ciò che le fonti qui citate stabiliscono. Descrivono la logica generale degli attacchi che sfruttano falle sui dispositivi mobili, una diffusione di Pegasus per iOS tramite un sito web e un gruppo di correzioni Apple di settembre 2021. Non contengono né l'analisi tecnica di FORCEDENTRY, né il dettaglio di un'infezione senza clic tramite messaggio, né le inchieste del 2021 sui bersagli di Pegasus. Questi punti non sono quindi trattati qui.
Domande dirette
Che cos'è Pegasus per iOS?
In MITRE ATT&CK, «Pegasus for iOS» è un software che sfrutta vulnerabilità di iOS per ottenere privilegi più elevati1. Esiste anche una versione per Android: cerca di sfruttare falle note di Android per lo stesso scopo1.
Bisogna cliccare per essere infettati?
Le fonti qui citate non lo affermano per Pegasus. Descrivono un caso in cui la vittima visita un sito: Pegasus per iOS è stato diffuso tramite un sito web, sfruttando falle del browser Safari2. Notano che, in questo tipo di attacco, l'utente deve talvolta aiutare il processo, attivando script o ignorando le finestre di avviso2.
Che cos'è CVE-2021-30860?
È un riferimento a una falla citato dal CERT-FR nel suo avviso del 14 settembre 2021 sui prodotti Apple, insieme a CVE-2021-308583. L'avviso classifica queste vulnerabilità nel rischio «Exécution de code arbitraire à distance» (esecuzione di codice arbitrario da remoto)3. Il testo del CERT-FR non collega questo riferimento a Pegasus.
Quali dispositivi riguarda l'avviso del CERT-FR?
Sono interessati iOS e iPadOS precedenti alla versione 14.8, macOS Big Sur precedente alla 11.6, Safari precedente alla 14.1.2, watchOS precedente alla 7.6.2 e Catalina precedente a 2021-0053.
1Nei panni dell'attaccante1 min
Un attaccante che punta a un telefono parte con pochi diritti. MITRE descrive questo punto di partenza: l'attaccante viene eseguito inizialmente in un processo con pochi privilegi, che gli impedisce di accedere ad alcune risorse1. Esistono falle, per lo più in componenti del sistema e in applicazioni che girano con diritti elevati, che permettono di passare dal livello utente ai diritti di root1.
I meccanismi di sicurezza, come i livelli di autorizzazione, ostacolano l'accesso ai dati. Per aggirarli, l'attaccante dovrà probabilmente sfruttare una falla del software1. È il ruolo che MITRE attribuisce a Pegasus per iOS1.
Quando il bersaglio è colpito in quanto membro di una comunità, l'attaccante può scegliere un sito che quella comunità frequenta: amministrazione, settore di attività o regione. MITRE lo chiama compromissione strategica di un sito web, o attacco watering hole2.
2Cosa si vede sullo schermo1 min
Nello scenario descritto da MITRE per un attacco tramite sito web, degli script vengono eseguiti automaticamente e cercano la versione del browser e delle sue estensioni2. Se si trova una versione vulnerabile, il codice di exploit viene inviato al browser. Se lo sfruttamento riesce, l'attaccante ottiene l'esecuzione di codice sul dispositivo, a meno che non siano attive altre protezioni2. In alcuni casi è necessaria una seconda visita al sito prima dell'invio del codice2.
Le fonti qui citate non descrivono che cosa lo schermo di un iPhone infetto mostri o non mostri. Non consentono quindi di affermare che non compaia alcun segnale.
Un'altra via possibile, che riguarda altri software dannosi: un link a un'applicazione, inviato per e-mail, SMS, iMessage o WhatsApp, oppure tramite un codice QR4. MITRE osserva che questa tecnica non si aggira facilmente con controlli preventivi, perché sfrutta funzioni normali del sistema4.
3Sotto il cofanoTeam IT1 min
Il meccanismo procede in due tempi. Prima un accesso iniziale, per esempio tramite il browser2. Poi un'escalation dei privilegi, tramite una falla del sistema o di un componente che gira con diritti elevati1.
MITRE cita diversi software affini su iOS. INSOMNIA sfrutta una falla di WebKit per ottenere l'accesso root1. Nell'operazione Triangulation, gli attaccanti hanno sfruttato una falla del kernel per ottenere i diritti di root1.
Un telefono collegato alla rete aziendale, in locale o tramite VPN, può servire anche da punto d'ingresso. L'attaccante sfrutta allora servizi remoti per raggiungere altri sistemi interni5. Tra le misure citate, la configurazione di una VPN per singola applicazione anziché per l'intero dispositivo limita l'accesso alle risorse interne alle sole applicazioni approvate5.
Il telefono può anche essere colpito prima di arrivare all'utente. MITRE descrive la compromissione della catena di fornitura, che comprende le dipendenze software, gli strumenti di sviluppo e l'hardware6. Gli aggiornamenti di sicurezza possono contenere correzioni per i dispositivi compromessi a questo livello6.
Sul fronte della difesa, l'attestazione del dispositivo può spesso rilevare un telefono sbloccato (jailbreak) o con accesso root, e lo possono fare anche i prodotti di sicurezza mobile1.
4AutopsieCasi reali1 min
13 e 14 settembre 2021: le correzioni Apple rilevate dal CERT-FR
Il 13 settembre 2021 Apple pubblica cinque bollettini di sicurezza, da HT212804 a HT2128083. Il giorno dopo il CERT-FR ne ricava un avviso intitolato «Multiples vulnérabilités dans les produits Apple»3. Indica che queste falle permettono a un attaccante di provocare l'esecuzione di codice arbitrario da remoto3. La soluzione proposta è consultare i bollettini del produttore per ottenere le correzioni3. I due riferimenti CVE citati sono CVE-2021-30858 e CVE-2021-308603.
Per un dipendente, la lezione pratica è quella dell'avviso: le versioni precedenti a iOS 14.8 e iPadOS 14.8 erano interessate e l'aggiornamento era la risposta3.
Pegasus per iOS: una diffusione tramite sito web
MITRE riferisce che Pegasus per iOS è stato diffuso tramite un sito web, per mezzo di falle del browser Safari su iOS2. Le fonti qui citate non indicano una data per questo caso.
Scheda
- Identificativo
- CP-139
- Ala
- 2. Malware e autopsie
- Competenza Brain
- Capire l'hacking (understand_hacking)
- Riflesso Brain
- cr-012
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 6 fonti verificate il 3 novembre 2026
Fonti6 fonti
- MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1456/ (consultato il 3 novembre 2026)
- CERT-FR (ANSSI), «Multiples vulnérabilités dans les produits Apple - CERT-FR», 14 settembre 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1476/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1428/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1474/ (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Pegasus e FORCEDENTRY su iPhone», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp139_it_2026,
author = {Brain},
title = {Pegasus e FORCEDENTRY su iPhone},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/pegasus-nso-forcedentry-iphone/},
note = {CC BY 4.0}
}