Pegasus Spyware: O que é e Como se Defender do Malware de Espionagem

// Capítulo 01

O que é o Pegasus e Quem o Criou

A Arma de Espionagem Digital Mais Avançada Já Criada

O Pegasus é um software espião (spyware) desenvolvido e comercializado pela empresa israelense NSO Group Technologies. Criado originalmente com a justificativa de combater o crime organizado e o terrorismo, o Pegasus tornou-se a arma de vigilância digital mais poderosa e perigosa de que se tem notícia — e provaîdas irrefutáveis mostram que foi amplamente utilizado contra jornalistas, ativistas de direitos humanos, oposicionistas políticos e até chefes de Estado.

Ao contrário de malwares comuns que exigem que a vítima clique em um link suspeito, o Pegasus utiliza o que a comunidade de segurança chama de exploits zero-click: a invasão ocorre de forma completamente silenciosa, sem nenhuma interação da vítima. Basta o telefone estar ligado e conectado à rede. Nenhum antivírus do mercado detecta sua presença. Nenhum firewall o bloqueia. [1][2]

O Google Project Zero classificou o exploit FORCEDENTRY do Pegasus como “a arma contra a qual não existe defesa”. A equipe de pesquisa escreveu: “Excetuando não usar um dispositivo, não há como prevenir a exploração por um exploit zero-click.” [3]

O que o Pegasus Pode Fazer no Seu Celular

Uma vez instalado — em segundos, sem rastro — o Pegasus oferece ao operador controle total sobre o dispositivo:

Interceptação em tempo real: Ligações de voz, VoIP, chamadas criptografadas via Signal, WhatsApp, Telegram e FaceTime são todas interceptadas, pois o Pegasus age antes da criptografia, no próprio microfone.

Extração de dados: Contatos, senhas armazenadas, arquivos, fotos, histórico de navegação, dados bancários, chaves privadas de wallets de criptomoedas que passem pela memória do dispositivo.

Vigilância ambiental: Ativação remota de microfone e câmera sem qualquer indicação visual ao usuário.

Rastreamento de localização: GPS em tempo real e histórico de movimentações.

Em maio de 2025, um tribunal federal dos EUA condenou o NSO Group a pagar US$ 167 milhões em indenização ao WhatsApp por explorar a plataforma para injetar o Pegasus em aproximadamente 1.400 celulares de usuários, incluindo jornalistas e ativistas. [4]

// Capítulo 02

Os Três Vetores de Ataque: Como o Pegasus Entra no Celular

Vetores 1, 2 e 3: Links, Rede GSM e Zero-Click

Vetor 1 — Links Maliciosos via Mensageiros

A primeira geração do Pegasus utilizava links maliciosos enviados por WhatsApp, iMessage, e-mail e SMS. Ao clicar, o navegador carregava uma página que explorava vulnerabilidades WebKit ou do sistema operacional para instalar o spyware silenciosamente. O exploit Trident (2016), documentado pelo Citizen Lab, encadeou três vulnerabilidades zero-day do iOS para comprometer completamente o dispositivo. Mitigação: Para operações sensíveis, use dispositivos e aplicações separadas. Prefira o Tails OS para comunicações críticas.

Vetor 2 — Injeção via Rede GSM (Man-in-the-Middle)

O Pegasus infectou dispositivos interceptando o tráfego de rede do telefone por meio de ataques MITM. O atacante redirecionava requisições HTTP não criptografadas para páginas maliciosas. No caso do ativista marroquino Maati Monjib, ao digitar “yahoo.fr” no Safari, sua conexão foi interceptada e redirecionada para um site de exploit antes de atingir o destino real. Esse ataque funciona mesmo sem Wi-Fi: via sinal GSM e operadoras coniventes, governos podem usar o próprio provedor de telecomunicações como vetor de entrega. Mitigação: Evite usar celular para operações críticas. Use Linux/Tails em computador dedicado com Tor.

Vetor 3 — Zero-Click: FORCEDENTRY, KISMET e PWNYOURHOME

O método mais devastador: nenhuma interação da vítima é necessária. O exploit FORCEDENTRY (CVE-2021-30860), descoberto pelo Citizen Lab e analisado pelo Google Project Zero, atacava a biblioteca CoreGraphics do iOS via iMessage. Arquivos GIF que eram na verdade PDFs Adobe com fluxo JBIG2 construíram uma máquina virtual dentro do parser de imagens da Apple — o que o Google classificou como “um dos exploits mais tecnicamente sofisticados já vistos”. Em 2022, o Citizen Lab documentou três novas cadeias zero-click: FINDMYPWN, PWNYOURHOME e LATENTIMAGE — todas contra iOS 15 e 16. Mitigação: Ative o Lockdown Mode no iPhone. Prefira sistemas Linux para dados sensíveis. Use a ferramenta MVT para auditoria forense. [5][6]

# Cadeia de exploit FORCEDENTRY (simplificada - CVE-2021-30860)

[NSO] Enviar 27 GIFs via iMessage para +55xxxxxxxxx

# GIF = PSD Adobe de 748 bytes | causa crash no IMTranscoderAgent

[iOS] CoreGraphics processa JBIG2 malicioso...

[iOS] Integer overflow em CoreGraphics.framework

[iOS] Sandbox escape via kernel exploit

[iOS] Pegasus instalado com privilégios root

# Tempo total: segundos | A vítima não viu NADA

Comparação de Vetores de Ataque do Pegasus por Características

Vetor	Requer Ação	Funciona Offline	Detectável	Mitigação
Links maliciosos (Trident)	Clicar no link	Não	Parcialmente	Não clicar em links desconhecidos
Injeção GSM (MITM)	Zero	Sim (sinal GSM)	Não	Não usar celular para dados críticos
Zero-Click iMessage (FORCEDENTRY)	Zero	Não	Quase impossível	Lockdown Mode / Sem celular
Zero-Click 2022 (PWNYOURHOME)	Zero	Não	Lockdown Mode notifica	Lockdown Mode ativado

Análise: Pegasus vs Outros Spywares por Sofisticação

// Capítulo 03

Vítimas Documentadas: Brasil e o Mundo

Quem Foi Atacado e Por Quê

O Projeto Pegasus, consórcio de 17 veículos jornalísticos coordenado pela Forbidden Stories em 2021, revelou uma lista de mais de 50.000 números de telefone selecionados como alvos por clientes do NSO Group em mais de 45 países. A análise forense confirmou invaão efetiva em centenas de casos.

Casos de Alto Perfil

Jamal Khashoggi: O jornalista do Washington Post assassinado na Turquia em 2018 teve seu círculo íntimo monitorado via Pegasus pela Arábia Saudita. O Citizen Lab confirmou que pelo menos um dos associados de Khashoggi foi infectado antes do assassinato. [7]

Emmanuel Macron: O presidente francês estava entre os alvos. Após a revelação do Projeto Pegasus, a França convocou reunião de emergência de segurança nacional. Outros 14 membros do governo francês também constavam na lista.

Jornalistas da Al Jazeera: Em dezembro de 2020, 36 jornalistas da emissora foram atacados via zero-click iMessage, operados pela Arábia Saudita e Emirados Árabes Unidos. [8]

Brasil — Thiago Tavares (SaferNet): O fundador e presidente da organização de direitos humanos SaferNet Brasil foi atacado pelo Pegasus. Após a invasão e o recebimento de ameaças, exilou-se voluntariamente em Berlim, na Alemanha.

O NSO Group alega vender exclusivamente a governos e apenas para fins legítimos. As evidências mostram o oposto: desde a Arábia Saudita monitorando dissidentes até o México gastando US$ 80 milhões para espionar ativistas contrários ao governo. Em janeiro de 2025, o ex-ministro da Justiça polonaês Zbigniew Ziobro foi preso por uso ilegal do Pegasus contra opositores políticos. [9]

// Capítulo 04

Criptomoedas e Hardware Wallets: Você Está Protegido?

A Verdade Sobre Hardware Wallets como Trezor e Ledger vs Pegasus

Muitos usuários de criptomoedas acreditam estar totalmente protegidos ao usar hardware wallets. A resposta precisa é mais complexa: hardware wallets protegem as chaves privadas, mas não protegem tudo o mais.

O que o Pegasus faz mesmo com Hardware Wallet: monitora saldos e transações em tempo real, intercepta transações anônimas de Monero e Zcash antes da criptografia, pode manipular o software da carteira para exibir endereços incorretos (ataque de substituição de endereço), e compromete qualquer senha ou PIN digitados no celular.

O que a hardware wallet protege: as chaves privadas criadas e armazenadas offline. Enquanto a chave não sair do dispositivo físico, não é possível roubar os fundos diretamente — mas tudo o mais permanece comprometido.

Conclusão irrefutável: Não use celular para operações com criptomoedas. Nem mesmo com a carteira de criptomoedas instalada isoladamente. Via sinal GSM, governos podem coordenar provedores de telecomunicações para explorar vulnerabilidades de fábrica no baseband modem e invadir o dispositivo sem nenhuma conexão à internet. A única defesa absoluta é usar um computador dedicado com sistema operacional Linux, preferencialmente o Tails em modo amnésico na memória RAM, com conexão via rede Tor.

// Capítulo 05

Como Detectar e as Únicas Defesas Reais

Detecção e Mitigação por Nível de Risco

Detecção com MVT (Mobile Verification Toolkit)

A Amnistia Internacional desenvolveu o MVT (Mobile Verification Toolkit), a ferramenta forense de código aberto padrão para detectar infecções por Pegasus. O MVT analisa backups do iPhone (iTunes) ou dump da memória Android em busca de indicadores de compromisso (IoCs) conhecidos do Pegasus. Em janeiro de 2024, a Kaspersky Labs publicou um método adicional para iOS: inspecionar o arquivo shutdown.log do dispositivo em busca de processos anômalos associados ao Pegasus. [10]

Lockdown Mode (iOS 16+)

O Apple Lockdown Mode, disponível a partir do iOS 16, bloqueia uma série de vetores de ataque usados pelo Pegasus. O Citizen Lab documentou que o exploit PWNYOURHOME (2022) disparava notificações visíveis no Lockdown Mode — sugerindo que o modo fornece proteção real contra ataques de zero-click desta geração. [6]

A Defesa Definitiva: Linux + Tails + Tor

Para operaçþes verdadeiramente sensíveis (criptomoedas, jornalismo investigativo, ativismo em regimes autoritários), a única defesa real é abandonar o celular como plataforma operacional. Use Tails OS em modo amnésico (100% na RAM) em um computador dedicado, com conexão via rede Tor. Quando o computador é desligado, nenhum dado persiste no armazenamento.

Evite VPNs para proteção contra o Pegasus — elas não mitigam nenhum dos três vetores de ataque descritos. Prefira a rede Tor, que é descentralizada, ou I2P. O Telegram via navegador e e-mails com criptografia PGP funcionam plenamente dentro do Tails.

Construa uma Defesa Real

Nossa consultoria especializada estrutura um ecossistema de privacidade que contempla ameaças de nível estatal como o Pegasus. Compartimentalização de dispositivos, Tails OS, criptografia e operações anônimas com criptomoedas.

Consultoria Especializada Ultra Anonimato

// Fontes e Referências

Fontes, Referências e Leituras Complementares

Fontes Científicas e Oficiais

[1]
Pegasus (spyware) — Wikipedia
wikipedia.org — Pegasus Spyware
Documentação completa sobre o Pegasus: histórico, casos de uso por governos, infraestrutura PATN, exploits documentados (Trident, FORCEDENTRY, KISMET), lista de vítimas e status legal em 2025. Inclui a condenação de US$ 167 milhões ao WhatsApp em maio de 2025.
[2]
Technical Analysis of the NSO Group's Pegasus Spyware — IEEE Xplore
ieeexplore.ieee.org — Pegasus Technical Analysis
Análise acadêmica revisada por pares documentando a cadeia de exploits zero-day do iOS/WebKit utilizada pelo Pegasus para comprometer mais de 50.000 dispositivos de jornalistas, acadêmicos, políticos e figuras religiosas.
[3]
Google Says NSO Pegasus Zero-Click 'Most Technically Sophisticated Exploit Ever Seen' — SecurityWeek
securityweek.com — Google Project Zero Analysis
Análise do Google Project Zero do exploit FORCEDENTRY, classificado como “um dos exploits mais tecnicamente sofisticados já vistos”, com uma máquina virtual construída dentro do parser de imagens JBIG2 para contornar o sandbox BlastDoor da Apple.
[4]
NSO Group's Pegasus Spyware Exposed in New Court Docs — Bitdefender
bitdefender.com — NSO Court Documents
Cobertura da condenação judicial de 2025: NSO ordenado a pagar US$ 167 milhões ao WhatsApp. Documenta os três vetores de exploit Heaven, Eden e Erised usados contra usuários do WhatsApp e a prova de que a própria NSO executava os ataques para seus clientes.
[5]
FORCEDENTRY: NSO Group iMessage Zero-Click Exploit Captured in the Wild — Citizen Lab
citizenlab.ca — FORCEDENTRY Research
Relatório original do Citizen Lab (Universidade de Toronto) documentando a captura do exploit FORCEDENTRY em um iPhone de ativista saudita. Describe 27 arquivos GIF maliciosos (PSD Adobe de 748 bytes cada) enviados via iMessage que desencadeiam CVE-2021-30860.
[6]
Triple Threat: Pegasus Returns in 2022 with iOS 15/16 Zero-Click Chains — Citizen Lab
citizenlab.ca — 2022 Zero-Click Chains
Documenta três novas cadeias zero-click de 2022: FINDMYPWN, PWNYOURHOME e LATENTIMAGE. Inclui evidência de que o Lockdown Mode do iOS 16 exibiu notificações durante tentativas de PWNYOURHOME, sugerindo proteção efetiva.
[7]
Pegasus Spyware: Zero-Click Exploitation and Forensic Analysis — SbyTec
sbytec.com — Pegasus Technical Deep-Dive
Análise técnica dos exploits Trident, KISMET e FORCEDENTRY com detalhes das cadeias de vulnerabilidades encadeadas. Documenta a cronologia de 2016 a 2025 e o caso Khashoggi, onde o Citizen Lab confirmou monitoramento do círculo íntimo antes do assassinato.
[8]
Technical Analysis of the Pegasus Spyware — Lookout/Citizen Lab (PDF)
lookout.com — Pegasus Technical Analysis PDF
Relatório original de 2016 (Lookout + Citizen Lab) que revelou o Pegasus ao público. Documenta o exploit Trident (três zero-days encadeados do iOS 9.3.4), as capacidades de interceptação de Gmail, Facebook, WhatsApp, Skype, Telegram e outros, e o preço: US$ 25.000 por alvo.
[9]
Amnesty International — Security Lab (MVT)
amnesty.org/en/tech — MVT Forensic Tool
Página oficial da Amnistia Internacional sobre o Mobile Verification Toolkit (MVT), a ferramenta forense de código aberto para detectação de infecções por Pegasus em iOS e Android. Inclui a metodologia forense usada na investigação do Projeto Pegasus.
[10]
Kaspersky — New Method to Detect Pegasus on iOS via shutdown.log (Jan 2024)
kaspersky.com — Pegasus Detection Method 2024
Em 16 de janeiro de 2024, a Kaspersky Labs anunciou um novo método de detecção do Pegasus em dispositivos iOS inspecionando o arquivo shutdown.log em busca de anomalias de processo associadas ao spyware, complementando a análise forense via MVT.