Например, пользователь iPhone может получить доступ к файлам, необходимым для запуска приложений, которые ему разрешено устанавливать, но не для приложений, которые Apple Inc. не одобряет. Apple также не разрешает доступ к файлам в своей операционной системе iOS. В частности, компания не разрешает доступ к "ядру", которое управляет всей системой. Инженеры компании даже ограничили доступ пользователя iPhone к различным легитимным процессам, активно запущенным на устройстве. Apple не хочет, чтобы кто-то перестраивал работу телефона, и не хочет, чтобы кто-то положил глаз на эту ценную жилу проприетарного кода внутри. Чтобы проникнуть внутрь, нужны опытные злоумышленники — киберспециалисты вроде Клаудио и Доннча, которые научились находить и использовать уязвимости в защитном ограждении, возведенном Apple, а затем "повышать свои привилегии" на телефоне. Опытные специалисты по кибербезопасности могут получить root-доступ к телефону, как это делает Pegasus, и увидеть (или изменить) практически все, что пожелают.
Именно это пара и решила сделать с iPhone Маати Монджиб. Попутно они сделали два важнейших открытия: одно относилось к iPhone вообще, а другое — к телефону Маати в частности. Первое произошло, когда Клаудио и Доннча создали полную резервную копию и образ файловой системы телефона Маати в iTunes и обнаружили, что из нее был извлечен необычный кэш данных, которого они раньше не видели. В отличие от телефонов на базе Android, где многие важные данные стираются при перезагрузке или просто исчезают за несколько месяцев, iPhone хранит информацию годами в различных журналах резервного копирования. Так что у техников Security Lab был доступ к стандартным резервным копиям, таким как старые текстовые сообщения и ссылки на них, а также история браузера. Кроме того, они получили доступ к журналу iOS под названием DataUsage.sqlite, в котором фиксировалось четкое название каждого процесса, происходящего на устройстве, а также то, когда и сколько именно мобильных данных было использовано. DataUsage.sqlite открывал совершенно новый путь для отслеживания Pegasus.
Поскольку Клаудио и Донча имели полный и неограниченный доступ к резервным копиям файлов Маати прямо в своем берлинском офисе, они могли уделить время поиску каждой иголки в этом цифровом стоге сена. Они могли написать и обновить свой собственный код для поиска специфических шпионских программ-маркеров, уже обнародованных или опубликованных в частном порядке в сообществе кибербезопасности. В журналах резервного копирования Маати они обнаружили процесс под названием "bh". Впервые процесс bh был обнаружен летом 2016 года, когда Citizen Lab совместно с частной компанией по кибербезопасности Lookout раскрыла попытку заразить iPhone программой Pegasus. По словам инженеров Lookout, разработанный NSO bh.c был инструментом, помогающим доставлять "полезную нагрузку следующего этапа" и "правильно размещать ее на iPhone жертвы". Эти полезные нагрузки, как они определили, были ранними стадиями эксплойтов для веб-браузера Pegasus. Lookout также обнаружил в пакете со шпионским ПО доказательства того, что "bh" — это сокращение от "Bridgehead".
Спустя три года Клаудио и Доннча обнаружили в телефоне Маати модуль bh, который, как они сообщили миру, "завершает эксплуатацию браузера, коренит устройство и готовит его к заражению полным набором Pegasus".
Дуэт из Security Lab сделал еще более удивительное открытие, изучив криминалистический снимок телефона Маати. Когда Клаудио и Доннча прочесали базу данных истории просмотров Safari и журналы ресурсов сеансов, они начали отмечать, а затем реконструировать некоторые странные цифровые обходные пути, которые они наблюдали. Пытаясь определить, открывал ли телефон Маати какие-либо известные Pegasus ссылки, они обнаружили, что весной и летом 2019 года телефон (уже подвергавшийся восемнадцать месяцев стандартной атаке Pegasus с помощью SMS-сообщений) переходил на странные и ранее неизвестные сайты. Клаудио и Донча не были уверены, что именно они увидели в базах данных, но это "выглядело подозрительно", — говорит Донча, — "и время было подходящим".
Например, когда Маати попытался зайти на домашнюю страницу Yahoo в июле 2019 года, он менее чем за три миллисекунды был перенаправлен на подозрительно выглядящую веб-страницу под названием Free247downloads.com по адресу https://bun54l2b67.get1tn0w.free247downloads[.]com:30495/szev4hz.
Несколько секунд спустя Free247downloads сбросил в телефон бомбу с вредоносным кодом, не предупредив Маати о том, что произошло нечто необычное.