Pegasus en FORCEDENTRY op de iPhone
Wat de bronnen zeggen over Pegasus op de iPhone: misbruikte kwetsbaarheden, Apple-updates van september 2021 en eenvoudige reflexen voor medewerkers.
In 30 seconden
- Wat de aanvaller wil
- Eigen code op het apparaat uitvoeren en daarna van beperkte toegang overgaan op uitgebreide rechten1.
- De reflex
- Installeer updates meteen, want ze bevatten vaak herstellingen van kwetsbaarheden1.
- Als het al gebeurd is
- Breng de beveiligingsdienst van het bedrijf onmiddellijk op de hoogte en probeer de telefoon niet zelf schoon te maken.
Waar gaat het over
Pegasus staat in het MITRE ATT&CK-raamwerk als "Pegasus for iOS": software die kwetsbaarheden in iOS misbruikt om meer rechten te krijgen1. Voor een medewerker is het gevolg eenvoudig: een telefoon met de laatste updates is moeilijker te compromitteren.
Dit artikel houdt zich aan wat de hier aangehaalde bronnen aantonen. Ze beschrijven de algemene logica van aanvallen via kwetsbaarheden op mobiele apparaten, een verspreiding van Pegasus voor iOS via een website en een reeks Apple-updates van september 2021. Ze bevatten geen technische analyse van FORCEDENTRY, geen details over een infectie zonder klik via een bericht en niets over de onderzoeken uit 2021 naar de doelwitten van Pegasus. Die punten komen hier dus niet aan bod.
Directe vragen
Wat is Pegasus voor iOS?
In MITRE ATT&CK is "Pegasus for iOS" software die kwetsbaarheden in iOS misbruikt om meer rechten te krijgen1. Er bestaat ook een versie voor Android: die probeert daarvoor bekende kwetsbaarheden in Android te misbruiken1.
Moet u klikken om besmet te raken?
De hier aangehaalde bronnen zeggen dat niet over Pegasus. Ze beschrijven wel een geval waarin het slachtoffer een website bezoekt: Pegasus voor iOS is verspreid via een website, door kwetsbaarheden in de Safari-browser te misbruiken2. Ze merken op dat de gebruiker bij dit type aanval soms moet meewerken, door scripts in te schakelen of waarschuwingsvensters te negeren2.
Wat is CVE-2021-30860?
Het is een verwijzing naar een kwetsbaarheid die CERT-FR noemt in zijn advies van 14 september 2021 over Apple-producten, samen met CVE-2021-308583. Het advies rekent deze kwetsbaarheden tot het risico "Exécution de code arbitraire à distance"3. De tekst van CERT-FR koppelt deze verwijzing niet aan Pegasus.
Op welke apparaten heeft het advies van CERT-FR betrekking?
Getroffen zijn iOS en iPadOS ouder dan versie 14.8, macOS Big Sur ouder dan 11.6, Safari ouder dan 14.1.2, watchOS ouder dan 7.6.2 en Catalina ouder dan 2021-0053.
1In de huid van de aanvaller1 min
Een aanvaller die een telefoon viseert, begint met weinig rechten. MITRE beschrijft dat beginpunt: de aanvaller draait eerst in een proces met weinig rechten, dat de toegang tot bepaalde bronnen verhindert1. Er bestaan kwetsbaarheden, meestal in onderdelen van het systeem en in toepassingen die met hoge rechten draaien, waarmee de aanvaller van gebruikersniveau naar root-rechten kan gaan1.
Beveiligingsmechanismen zoals rechtenniveaus bemoeilijken de toegang tot gegevens. Om ze te omzeilen zal de aanvaller waarschijnlijk een softwarekwetsbaarheid moeten misbruiken1. Die rol kent MITRE toe aan Pegasus voor iOS1.
Wordt het doelwit gekozen als lid van een gemeenschap, dan kan de aanvaller een site kiezen die die gemeenschap bezoekt: een overheidsdienst, een sector of een regio. MITRE noemt dit een strategische compromittering van een website, of waterputaanval2.
2Wat u op het scherm ziet1 min
In het scenario dat MITRE beschrijft voor een aanval via een website, draaien scripts automatisch en zoeken ze de versie van de browser en van de extensies op2. Wordt een kwetsbare versie gevonden, dan wordt de exploitcode naar de browser gestuurd. Slaagt de exploit, dan krijgt de aanvaller code-uitvoering op het apparaat, tenzij er andere beveiligingen zijn2. In sommige gevallen is een tweede bezoek aan de site nodig voordat de code wordt verstuurd2.
De hier aangehaalde bronnen beschrijven niet wat het scherm van een besmette iPhone wel of niet toont. Ze laten dus niet toe te beweren dat er geen enkel teken verschijnt.
Een andere mogelijke route, die andere schadelijke software betreft: een link naar een app, verstuurd per e-mail, sms, iMessage of WhatsApp, of via een QR-code4. MITRE merkt op dat deze techniek niet gemakkelijk met preventieve maatregelen te omzeilen is, omdat ze normale functies van het systeem misbruikt4.
3Onder de motorkapIT-teams1 min
Het mechanisme verloopt in twee stappen. Eerst een eerste toegang, bijvoorbeeld via de browser2. Daarna een verhoging van rechten, via een kwetsbaarheid in het systeem of in een onderdeel dat met hoge rechten draait1.
MITRE noemt verschillende verwante programma's op iOS. INSOMNIA misbruikt een kwetsbaarheid in WebKit om root-toegang te krijgen1. Bij Operation Triangulation misbruikten de aanvallers een kwetsbaarheid in de kernel om root-rechten te krijgen1.
Een telefoon die met het bedrijfsnetwerk verbonden is, lokaal of via een VPN, kan ook als toegangspoort dienen. De aanvaller misbruikt dan externe diensten om andere interne systemen te bereiken5. Een van de genoemde maatregelen is een VPN per app in plaats van voor het hele apparaat: zo krijgen alleen goedgekeurde apps toegang tot interne bronnen5.
De telefoon kan ook al getroffen zijn voordat hij bij de gebruiker aankomt. MITRE beschrijft de compromittering van de toeleveringsketen, waartoe softwareafhankelijkheden, ontwikkeltools en hardware behoren6. Beveiligingsupdates kunnen herstellingen bevatten voor apparaten die op dat niveau gecompromitteerd zijn6.
Aan de verdedigingskant kan apparaatattestatie vaak een telefoon opsporen waarop een jailbreak is uitgevoerd of die geroot is, en mobiele beveiligingsproducten kunnen dat ook1.
4IncidentanalysesEchte gevallen1 min
13 en 14 september 2021: de Apple-herstellingen volgens CERT-FR
Op 13 september 2021 publiceert Apple vijf beveiligingsbulletins, van HT212804 tot HT2128083. De dag erna maakt CERT-FR er een advies van met de titel "Multiples vulnérabilités dans les produits Apple"3. Het stelt dat deze kwetsbaarheden een aanvaller in staat stellen op afstand willekeurige code uit te voeren3. De voorgestelde oplossing is de bulletins van de uitgever te raadplegen om de herstellingen te verkrijgen3. De twee genoemde CVE-verwijzingen zijn CVE-2021-30858 en CVE-2021-308603.
Voor een medewerker is de praktische les die van het advies zelf: versies ouder dan iOS 14.8 en iPadOS 14.8 waren getroffen, en de update was het antwoord3.
Pegasus voor iOS: verspreiding via een website
MITRE meldt dat Pegasus voor iOS is verspreid via een website, met behulp van kwetsbaarheden in de Safari-browser op iOS2. De hier aangehaalde bronnen geven geen datum voor dit geval.
Fiche
- Identificatie
- CP-139
- Vleugel
- 2. Malware en incidentanalyses
- Brain-competentie
- Hacking begrijpen (understand_hacking)
- Brain-reflex
- cr-012
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 6 bronnen gecontroleerd op 3 november 2026
Bronnen6 bronnen
- MITRE ATT&CK, “Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1404/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1456/ (geraadpleegd op 3 november 2026)
- CERT-FR (ANSSI), “Multiples vulnérabilités dans les produits Apple - CERT-FR”, 14 september 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1476/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1428/ (geraadpleegd op 3 november 2026)
- MITRE ATT&CK, “Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1474/ (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Pegasus en FORCEDENTRY op de iPhone”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp139_nl_2026,
author = {Brain},
title = {Pegasus en FORCEDENTRY op de iPhone},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/pegasus-nso-forcedentry-iphone/},
note = {CC BY 4.0}
}