Entre os anos de 2016 e 2018, o Citizen Lab contou com um grupo de pesquisadores que participaram de um grande projeto dedicado a varrer a internet e encontrou servidores que estavam de alguma forma associados ao spyware móvel da Pegasus.
O pesquisador sênior do The Citizens Lab, Bill Marczak, relatou que no início de seu período de pesquisa, eles encontraram cerca de 200 servidores em 2016. Com o passar do tempo, esse número aumentou tremendamente para 600 no ano de 2018. Isso parece fortemente indicam que o Grupo NSO está aumentando suas operações.
A partir de agosto de 2016, descobriu-se que o malware estava ativo quando o NSO Group estava vendendo o spyware móvel para terceiros e governos que queriam ter recursos para rastrear chamadas, ler textos, encontrar senhas e coletar outros dados de aplicativos de possíveis vítimas.
Geralmente, o Pegasus é distribuído através de técnicas de phishing através de links de exploração especialmente formulados. Quando os links são clicados, o spyware é capaz de penetrar nos recursos de segurança dos telefones da vítima. De acordo com o último relatório do The Citizen Lab, o Pegasus se tornou muito mais difundido do que era anteriormente. Agora está sendo usado por alguns países para atingir os direitos humanos.
A Pegasus expandiu-se e agora inclui o uso em países do Conselho de Cooperação do Golfo em todo o Oriente Médio. Ele está sendo usado para rastrear certos dissidentes, como Ahmed Mansoor, ativista dos Emirados Árabes Unidos. Ele foi alvo não apenas em 2016, mas também em 2018.
Em relação às suas descobertas, os pesquisadores dizem que foi esboçado um quadro sombrio dos riscos aos direitos humanos representados pela proliferação global das MSOs. Existem pelo menos 6, e possivelmente mais, países que possuem operações significativas em Pegasus. Essas operações foram vinculadas a spywares que foram usados para atingir a sociedade civil em países como México, Bahrein, Cazaquistão, Marrocos, Arábia Saudita e Emirados Árabes Unidos.
Em 2017, havia dezenas de jornalistas e advogados mexicanos que tinham seus dispositivos infectados com esse spyware. Isso também incluiu uma criança. Acredita-se que esta campanha particular de Pégasus tenha sido estabelecida pelo governo da nação.
De acordo com Marczak, o abuso pelo spyware é certamente um sinal do que está por vir. Projeta-se que a sociedade civil se tornará alvo deste tipo de vigilância, a menos que o governo encontre uma maneira melhor de regulamentar o spyware.
Entre os anos de 2016 e 2018, a equipe de pesquisa conseguiu encontrar 1.091 endereços IP e 1.014 nomes de domínio que correspondem ao comportamento de um servidor de comando e controle, bem como um link de exploração altamente associado ao Pegasus.
Pesquisadores do Citizen Lab criaram uma técnica que eles chamam de Athena, que eles usam para rastrear muitos operadores Pegasus diferentes. Esse cluster de técnica corresponde aos servidores do spyware em 36 sistemas Pegasus diferentes, cada um aparentemente executado por um operador separado. Depois disso, a equipe de pesquisa sondou dezenas de milhares de caches DNS do ISP em todo o mundo, presumindo que os dispositivos que estavam infectados procurariam rotineiramente os diferentes nomes de domínio dos servidores das operadoras usando os servidores DNS de seus ISPs.
Os pesquisadores compartilharam que eles dedicaram tempo para projetar e realizar um estudo de sondagem de cache de DNS. Este estudo foi realizado sobre os nomes de domínio correspondentes para que eles pudessem identificar qual país cada operador estava espionando. Esta técnica foi capaz de identificar um total de 45 países diferentes que foram vítimas das operações de vigilância da Pegasus. Também foi descoberto que pelo menos 10 dos operadores Pegasus estavam ativamente envolvidos na vigilância através da fronteira.
Os seguintes países foram encontrados para ter este spyware em particular: Bahrain, Argélia, Brasil, Bangladesh, Costa do Marfim, Canadá, Egito, Grécia, Índia, França, Israel, Iraque, Jordânia, Quênia, Cazaquistão, Quirguistão, Lativa, Líbia Líbano, Marrocos, México, Omã, Holanda, Paquistão, Polônia, Palestina, Catar, Ruanda, Cingapura, Arábia Saudita, África do Sul, Suíça, Tailândia, Tadjiquistão, Togo, Tunísia, Emirados Árabes Unidos, Turquia, Uganda, Estados Unidos , o Reino Unido, o Uzbequistão, a Zâmbia e o Iémen.
Surpreendentemente, houve várias infecções encontradas no espaço IP dos Estados Unidos pela equipe de pesquisa. No entanto, os clientes da Pegasus não estavam diretamente ligados aos Estados Unidos, indicando um comprometimento transfronteiriço.
Após a apresentação do The Citizen Lab, o NSO divulgou uma declaração dizendo que havia vários problemas com o relatório, incluindo imprecisão.
Em resposta, os pesquisadores do Citizen Lab discordaram dessas alegações e apoiaram suas descobertas. Eles prevêem um aumento dos problemas com os direitos humanos nas mãos de Pegasus.
