Когда Клаудио и Донча составили карту этой конфигурации, у них появился своего рода цифровой отпечаток пальца. Затем они провели сканирование Интернета летом 2018 года, буквально подключившись к каждому серверу в сети, в поисках других, имеющих такую же конфигурацию, такой же цифровой отпечаток. Они обнаружили почти шестьсот отдельных совпадающих серверов, которые служили стартовыми площадками для соответствующих шпионских атак.
Шансы выяснить происхождение этих серверов и доменных имен, которыми они владели, были бы невелики, если бы не несколько ранних криминалистических расследований, проведенных Citizen Lab при Университете Торонто. Исследователи из Citizen Lab уже несколько лет преследовали одного конкретного провайдера киберслежки. В 2016 году они не только нашли доказательства того, что шпионское ПО этой компании успешно заразило мобильный телефон правозащитника в Объединенных Арабских Эмиратах, но и смогли собрать воедино всю сетевую инфраструктуру компании. Среди прочего, они обнаружили сотни доменных имен, связанных с серверами компании. Citizen Lab опубликовала многие из них для всеобщего обозрения.
Компания отреагировала мгновенно, перестроив всю систему, составляющую ее "анонимизирующую сеть передачи данных", и изменив доменные имена. Но компания допустила важную ошибку: она повторно использовала два доменных имени из своей предыдущей версии: pine-sales[.]com и ecommerce-ads[.]org.
Так Клаудио и Донча их и поймали. Они нашли эти доменные имена в новой инфраструктуре, и это подсказало им, кто управляет системой. Это была NSO Group. Это был Pegasus. "Каждый инсталляционный сервер Pegasus или сервер управления и контроля (C&C) размещал веб-сервер на порту 443 с уникальным доменом и сертификатом TLS", — пишут они. "Эти пограничные серверы затем проксировали соединения через цепочку серверов, названную NSO Group "анонимной сетью передачи данных Pegasus"".
Поиск новых доменов Pegasus, соответствующих отпечатку пальца, также привел Клаудио и Дончу ко второй жертве. Яхья Ассири был бывшим офицером королевских ВВС Саудовской Аравии, который стал нежелательной занозой в боку саудовской королевской семьи. Под угрозой физической расправы Ассири бежал из родной страны, однако ему удалось создать в Саудовской Аравии сеть правозащитников и продолжить острую критику правящей монархии. Он публично ставил под сомнение религиозность саудовской королевской семьи, ее управление, плохое обращение с обнищавшими подданными и склонность к варварским наказаниям, таким как побивание камнями, порка, отсечение конечностей и обезглавливание. Другими словами, Асири говорил такие вещи, которые сами по себе навлекали на него подобные наказания. "Это абсолютная монархия, которая не позволяет своим гражданам участвовать в управлении своей страной", — сказал Ассири одному западному изданию. "Они используют ислам как оправдание для эксплуатации собственного народа. Это противоречит фундаментальным исламским учениям". Он призвал королевскую семью написать национальную конституцию, которая отстаивала бы демократические институты и обеспечивала бы справедливое и честное, но менее смертоносное верховенство закона. Или же он хотел, чтобы они уступили власть. В ответ королевская семья дала понять, что хочет получить скальп Яхьи Асири.
Когда Клаудио и Доннча проверили телефон Ассири, они обнаружили SMS-сообщение от мая 2018 года со ссылкой, приглашающей его войти во вредоносную инфраструктуру, созданную NSO. Эта находка дала паре два отдельных доказательства того, что кто-то в Королевстве Саудовская Аравия управлял системой Pegasus компании NSO, и они сделали эту находку за несколько месяцев до убийства саудовского журналиста-диссидента Джамаля Хашогги.
Amnesty International опубликовала результаты исследования, а затем и список всех доменных имен, связанных с атаками NSO. Дэнна Инглтон обрушилась на компанию с критикой: "Amnesty International не будет безучастно наблюдать за тем, как такие компании, как NSO Group, наживаются на продаже своего инвазивного программного обеспечения Pegasus репрессивным государствам по всему миру". Citizen Lab поддержала Клаудио и Доннча своими собственными выводами. Но все это не оказало большого влияния.