Pegasus i FORCEDENTRY na iPhonie
Co źródła mówią o Pegasusie na iPhonie: wykorzystane luki, poprawki Apple z września 2021 i proste odruchy dla pracownika.
W 30 sekund
- Czego chce atakujący
- Uruchomić własny kod na urządzeniu, a potem przejść z ograniczonego dostępu do rozszerzonych uprawnień1.
- Odruch
- Instalować aktualizacje bez zwłoki, bo często zawierają poprawki luk1.
- Jeśli już się stało
- Niezwłocznie powiadomić dział bezpieczeństwa firmy i nie próbować samodzielnie czyścić telefonu.
O co chodzi
Pegasus występuje w bazie MITRE ATT&CK jako „Pegasus for iOS”, oprogramowanie wykorzystujące podatności iOS do podniesienia swoich uprawnień1. Dla pracownika wniosek jest prosty: zaktualizowany telefon trudniej przejąć.
Ta karta trzyma się tego, co potwierdzają przywołane tu źródła. Opisują one ogólną logikę ataków na urządzenia mobilne przez luki, rozpowszechnianie Pegasusa dla iOS za pośrednictwem strony internetowej oraz pakiet poprawek Apple z września 2021. Nie zawierają analizy technicznej FORCEDENTRY, szczegółów infekcji bez kliknięcia przez wiadomość ani śledztw z 2021 roku dotyczących celów Pegasusa. Te kwestie nie są więc tutaj omawiane.
Pytania wprost
Czym jest Pegasus for iOS?
W MITRE ATT&CK „Pegasus for iOS” to oprogramowanie wykorzystujące podatności iOS do podniesienia swoich uprawnień1. Istnieje także wersja na Androida: próbuje ona w tym samym celu wykorzystać znane luki Androida1.
Czy trzeba kliknąć, żeby się zainfekować?
Przywołane tu źródła tego nie mówią w odniesieniu do Pegasusa. Opisują przypadek, w którym ofiara odwiedza stronę: Pegasus for iOS był rozpowszechniany przez stronę internetową, z wykorzystaniem luk w przeglądarce Safari2. Zaznaczają, że w tego typu ataku użytkownik musi czasem pomóc w przebiegu procesu, włączając skrypty lub ignorując okna ostrzeżeń2.
Czym jest CVE-2021-30860?
To oznaczenie luki przywołane przez CERT-FR w komunikacie z 14 września 2021 r. o produktach Apple, obok CVE-2021-308583. Komunikat zalicza te podatności do ryzyka „Exécution de code arbitraire à distance” (zdalne wykonanie dowolnego kodu)3. Tekst CERT-FR nie wiąże tego oznaczenia z Pegasusem.
Jakich urządzeń dotyczy komunikat CERT-FR?
Dotyczy on iOS i iPadOS w wersjach starszych niż 14.8, macOS Big Sur starszego niż 11.6, Safari starszego niż 14.1.2, watchOS starszego niż 7.6.2 oraz Catalina starszej niż 2021-0053.
1W skórze atakującego1 min
Atakujący, który celuje w telefon, zaczyna z niewielkimi uprawnieniami. MITRE opisuje ten punkt wyjścia: atakujący działa najpierw w procesie o niskich uprawnieniach, który uniemożliwia dostęp do niektórych zasobów1. Istnieją luki, najczęściej w komponentach systemu i aplikacjach działających z wysokimi uprawnieniami, które pozwalają przejść z poziomu użytkownika do uprawnień root1.
Mechanizmy bezpieczeństwa, takie jak poziomy uprawnień, utrudniają dostęp do danych. Aby je obejść, atakujący będzie prawdopodobnie musiał wykorzystać lukę w oprogramowaniu1. Taką rolę MITRE przypisuje Pegasusowi for iOS1.
Gdy ofiara jest wybierana jako członek jakiejś społeczności, atakujący może wskazać stronę, którą ta społeczność odwiedza: administrację, branżę lub region. MITRE nazywa to strategicznym przejęciem strony internetowej, czyli atakiem typu watering hole2.
2Co widać na ekranie1 min
W scenariuszu opisanym przez MITRE dla ataku przez stronę internetową skrypty uruchamiają się automatycznie i sprawdzają wersję przeglądarki oraz jej rozszerzeń2. Jeśli zostanie znaleziona podatna wersja, kod exploita jest wysyłany do przeglądarki. Jeśli wykorzystanie luki się powiedzie, atakujący uzyskuje możliwość wykonania kodu na urządzeniu, o ile nie działają inne zabezpieczenia2. W niektórych przypadkach przed wysłaniem kodu potrzebna jest druga wizyta na stronie2.
Przywołane tu źródła nie opisują, co ekran zainfekowanego iPhone'a pokazuje, a czego nie pokazuje. Nie pozwalają więc twierdzić, że żaden objaw się nie pojawia.
Inna możliwa droga, dotycząca innego złośliwego oprogramowania: link do aplikacji wysłany e-mailem, SMS-em, przez iMessage lub WhatsApp albo za pomocą kodu QR4. MITRE zauważa, że tej techniki nie da się łatwo obejść kontrolami zapobiegawczymi, bo wykorzystuje ona normalne funkcje systemu4.
3Pod maskąZespoły IT1 min
Mechanizm działa dwuetapowo. Najpierw uzyskanie początkowego dostępu, na przykład przez przeglądarkę2. Potem podniesienie uprawnień przez lukę w systemie lub w komponencie działającym z wysokimi uprawnieniami1.
MITRE wymienia kilka pokrewnych programów na iOS. INSOMNIA wykorzystuje lukę w WebKit, by uzyskać dostęp root1. Podczas operacji Triangulation atakujący wykorzystali lukę w jądrze, by uzyskać uprawnienia root1.
Telefon połączony z siecią firmy, lokalnie lub przez VPN, może też posłużyć jako punkt wejścia. Atakujący wykorzystuje wtedy usługi zdalne, by dotrzeć do innych systemów wewnętrznych5. Wśród wymienionych środków konfiguracja VPN dla poszczególnych aplikacji zamiast dla całego urządzenia ogranicza dostęp do zasobów wewnętrznych wyłącznie do zatwierdzonych aplikacji5.
Telefon może też zostać naruszony, zanim trafi do użytkownika. MITRE opisuje przejęcie łańcucha dostaw, obejmujące zależności programistyczne, narzędzia deweloperskie i sprzęt6. Aktualizacje bezpieczeństwa mogą zawierać poprawki dla urządzeń naruszonych na tym poziomie6.
Po stronie obrony atestacja urządzenia często potrafi wykryć telefon z jailbreakiem lub rootem, a potrafią to także produkty do ochrony urządzeń mobilnych1.
4Analizy incydentówPrawdziwe przypadki1 min
13 i 14 września 2021: poprawki Apple odnotowane przez CERT-FR
13 września 2021 r. Apple publikuje pięć biuletynów bezpieczeństwa, od HT212804 do HT2128083. Dzień później CERT-FR opracowuje na ich podstawie komunikat zatytułowany „Multiples vulnérabilités dans les produits Apple”3. Wskazuje w nim, że te luki pozwalają atakującemu na zdalne wykonanie dowolnego kodu3. Proponowane rozwiązanie to sięgnięcie do biuletynów producenta po poprawki3. Przywołane oznaczenia CVE to CVE-2021-30858 i CVE-2021-308603.
Praktyczna lekcja dla pracownika jest ta z komunikatu: dotknięte były wersje starsze niż iOS 14.8 i iPadOS 14.8, a odpowiedzią była aktualizacja3.
Pegasus for iOS: rozpowszechnianie przez stronę internetową
MITRE podaje, że Pegasus for iOS był rozpowszechniany przez stronę internetową, za pomocą luk w przeglądarce Safari na iOS2. Przywołane tu źródła nie podają daty tego przypadku.
Karta
- Identyfikator
- CP-139
- Skrzydło
- 2. Złośliwe oprogramowanie i analizy incydentów
- Kompetencja Brain
- Zrozumieć hacking (understand_hacking)
- Odruch Brain
- cr-012
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
- MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1404/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1456/ (dostęp 3 listopada 2026)
- CERT-FR (ANSSI), „Multiples vulnérabilités dans les produits Apple - CERT-FR”, 14 września 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1476/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1428/ (dostęp 3 listopada 2026)
- MITRE ATT&CK, „Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1474/ (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Pegasus i FORCEDENTRY na iPhonie”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp139_pl_2026,
author = {Brain},
title = {Pegasus i FORCEDENTRY na iPhonie},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/pegasus-nso-forcedentry-iphone/},
note = {CC BY 4.0}
}