Pegasus : comment NSO Group a exploité des failles 0-day dans WhatsApp

Un tribunal californien a publié, le 14 novembre 2024, des documents judiciaires relatifs à la plainte déposée, en mai 2019, par WhatsApp contre NSO Group, la société israélienne éditrice du logiciel-espion Pegasus. Ils prouvent que cette dernière a exploité des failles 0-day dans le code de l’application de messagerie pour en espionner les utilisateurs, y compris après le dépôt de plainte de WhatsApp.

Les documents judiciaires publiés comprennent des dépositions d’employés de NSO Group, des documents internes et des messages envoyés entre salariés. Ils montrent notamment comment la société israélienne a « développé ces exploits en extrayant et décompilant le code de WhatsApp, en procédant à une rétro-ingénierie de WhatsApp ».

NSO Group a d’ailleurs reconnu devant la justice américaine avoir exploité ces vulnérabilités pour installer son logiciel-espion sur des « dizaine de milliers d’appareils ». Les documents publiés prouvent également que NSO Group a souvent joué un rôle actif dans l’installation de Pegasus sur les appareils infectés, contrairement à ce que la société a toujours affirmé.

En juillet 2021, une enquête journalistique internationale a mis en évidence de nombreuses utilisations illégales du logiciel-espion. Des entités gouvernementales s’en sont notamment servi pour espionner des personnalités politiques, des activistes, des journalistes et des chefs d’entreprise.