Pegasus e FORCEDENTRY no iPhone
O que as fontes dizem sobre o Pegasus no iPhone: falhas exploradas, correções da Apple de setembro de 2021 e reflexos simples para um colaborador.
Em 30 segundos
- O que o atacante quer
- Executar o seu próprio código no dispositivo e passar depois de um acesso limitado a direitos alargados1.
- O reflexo
- Instalar as atualizações sem demora, porque contêm muitas vezes correções de falhas1.
- Se já aconteceu
- Avisar de imediato o serviço de segurança da empresa e não tentar limpar o telemóvel por conta própria.
Do que se trata
O Pegasus consta do referencial MITRE ATT&CK como «Pegasus for iOS», um software que explora vulnerabilidades do iOS para elevar os seus privilégios1. Para um colaborador, a consequência é simples: um telemóvel atualizado é mais difícil de comprometer.
Esta ficha limita-se ao que as fontes aqui citadas estabelecem. Descrevem a lógica geral dos ataques por falha em dispositivos móveis, uma distribuição do Pegasus para iOS através de um site e um conjunto de correções da Apple de setembro de 2021. Não contêm a análise técnica do FORCEDENTRY, nem o pormenor de uma infeção sem clique através de uma mensagem, nem as investigações de 2021 sobre os alvos do Pegasus. Estes pontos não são, por isso, tratados aqui.
Perguntas diretas
O que é o Pegasus para iOS?
No MITRE ATT&CK, «Pegasus for iOS» é um software que explora vulnerabilidades do iOS para elevar os seus privilégios1. Existe também uma versão para Android: tenta explorar falhas conhecidas do Android com o mesmo objetivo1.
É preciso clicar para ser infetado?
As fontes aqui citadas não o afirmam para o Pegasus. Descrevem um caso em que a vítima visita um site: o Pegasus para iOS foi distribuído através de um site, explorando falhas do navegador Safari2. Referem que, neste tipo de ataque, o utilizador tem por vezes de ajudar o processo, ativando scripts ou ignorando caixas de diálogo de aviso2.
O que é a CVE-2021-30860?
É uma referência de falha citada pelo CERT-FR no seu aviso de 14 de setembro de 2021 sobre os produtos Apple, juntamente com a CVE-2021-308583. O aviso classifica estas vulnerabilidades no risco «Exécution de code arbitraire à distance»3. O texto do CERT-FR não associa esta referência ao Pegasus.
A que dispositivos se aplica o aviso do CERT-FR?
São afetados o iOS e o iPadOS anteriores à versão 14.8, o macOS Big Sur anterior a 11.6, o Safari anterior a 14.1.2, o watchOS anterior a 7.6.2 e o Catalina anterior a 2021-0053.
1Na pele do atacante1 min
Um atacante que visa um telemóvel começa com poucos direitos. O MITRE descreve este ponto de partida: o atacante executa-se primeiro num processo pouco privilegiado, que o impede de aceder a certos recursos1. Existem falhas, na maior parte dos casos em componentes do sistema e em aplicações que funcionam com direitos elevados, que permitem passar do nível de utilizador aos direitos de root1.
Os mecanismos de segurança, como os níveis de permissão, dificultam o acesso aos dados. Para os contornar, o atacante terá provavelmente de explorar uma falha de software1. É esse o papel que o MITRE atribui ao Pegasus para iOS1.
Quando o alvo é visado enquanto membro de uma comunidade, o atacante pode escolher um site que essa comunidade visita: administração pública, setor de atividade ou região. O MITRE chama a isto um comprometimento estratégico de sites, ou ataque watering hole2.
2O que vê no ecrã1 min
No cenário descrito pelo MITRE para um ataque por site, scripts executam-se automaticamente e procuram a versão do navegador e das suas extensões2. Se for encontrada uma versão vulnerável, o código de exploração é enviado ao navegador. Se a exploração tiver êxito, o atacante obtém a execução de código no dispositivo, salvo se existirem outras proteções2. Em certos casos, é necessária uma segunda visita ao site antes do envio do código2.
As fontes aqui citadas não descrevem o que o ecrã de um iPhone infetado mostra ou não mostra. Não permitem, por isso, afirmar que nenhum sinal aparece.
Outra via possível, que diz respeito a outro software malicioso: uma ligação para uma aplicação, enviada por email, SMS, iMessage ou WhatsApp, ou ainda por um código QR4. O MITRE observa que esta técnica não se contorna facilmente com controlos preventivos, porque desvia funções normais do sistema4.
3Por baixo do capôEquipas de TI1 min
O mecanismo faz-se em dois tempos. Primeiro, um acesso inicial, por exemplo através do navegador2. Depois, uma elevação de privilégios, através de uma falha do sistema ou de um componente que funciona com direitos elevados1.
O MITRE cita vários softwares aparentados no iOS. O INSOMNIA explora uma falha do WebKit para obter acesso root1. Na operação Triangulation, os atacantes exploraram uma falha do kernel para obter os direitos de root1.
Um telemóvel ligado à rede da empresa, em ligação local ou por VPN, pode também servir de ponto de entrada. O atacante explora então serviços remotos para alcançar outros sistemas internos5. Entre as medidas citadas, configurar uma VPN por aplicação em vez de em todo o dispositivo limita o acesso aos recursos internos apenas às aplicações aprovadas5.
O telemóvel pode também ser atingido antes de chegar ao utilizador. O MITRE descreve o comprometimento da cadeia de abastecimento, que engloba as dependências de software, as ferramentas de desenvolvimento e o hardware6. As atualizações de segurança podem conter correções para os dispositivos comprometidos a esse nível6.
Do lado da defesa, a atestação do dispositivo pode muitas vezes detetar um telemóvel com jailbreak ou root, e os produtos de segurança móvel também o podem fazer1.
4AutópsiasCasos reais1 min
13 e 14 de setembro de 2021: as correções da Apple registadas pelo CERT-FR
A 13 de setembro de 2021, a Apple publica cinco boletins de segurança, de HT212804 a HT2128083. No dia seguinte, o CERT-FR retira deles um aviso intitulado «Multiples vulnérabilités dans les produits Apple»3. Indica que estas falhas permitem a um atacante provocar a execução de código arbitrário à distância3. A solução proposta é consultar os boletins do fabricante para obter as correções3. As duas referências CVE citadas são CVE-2021-30858 e CVE-2021-308603.
Para um colaborador, a lição prática é a do próprio aviso: as versões anteriores ao iOS 14.8 e ao iPadOS 14.8 eram afetadas, e a atualização era a resposta3.
Pegasus para iOS: uma distribuição por site
O MITRE refere que o Pegasus para iOS foi distribuído através de um site, por meio de falhas do navegador Safari no iOS2. As fontes aqui citadas não indicam data para este caso.
Ficha
- Identificador
- CP-139
- Ala
- 2. Malware e autópsias
- Competência Brain
- Perceber o hacking (understand_hacking)
- Reflexo Brain
- cr-012
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 6 fontes verificadas em 3 de novembro de 2026
Fontes6 fontes
- MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1456/ (consultado em 3 de novembro de 2026)
- CERT-FR (ANSSI), «Multiples vulnérabilités dans les produits Apple - CERT-FR», 14 de setembro de 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1476/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1428/ (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1474/ (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Pegasus e FORCEDENTRY no iPhone», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp139_pt_2026,
author = {Brain},
title = {Pegasus e FORCEDENTRY no iPhone},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/pegasus-nso-forcedentry-iphone/},
note = {CC BY 4.0}
}