AmnestyTech/inside-pegasus
GitHub: AmnestyTech/inside-pegasus
整理并索引了 WhatsApp 诉 NSO Group 案公开法院卷宗中泄露的 Pegasus 间谍软件内部技术文档、产品材料和宣誓证词，供安全研究和调查报道使用。
Stars: 21 | Forks: 4
# Pegasus 内部：*WhatsApp v. NSO Group* 的关键文件
一份经过精心整理的 NSO Group 内部文件、产品资料以及在 **_WhatsApp Inc. and Meta Platforms, Inc. v. NSO Group Technologies Limited and Q Cyber Technologies Limited_**（案号：4:19-cv-07123-PJH，美国加利福尼亚北区联邦地区法院）案件中进入公开记录的宣誓证词。
本仓库伴随一篇技术分析文章 **[Inside Pegasus: The evolution of the world's most notorious spyware system](https://securitylab.amnesty.org/latest/2026/07/inside-pegasus-the-evolution-of-the-worlds-most-notorious-spyware/)** 发布，该文章由国际特赦组织安全实验室发布，他们作为由 Forbidden Stories 协调的新合作调查 [**Pegasus Project: Inside Morocco’s Spying Machine**](https://forbiddenstories.org/investigations/) 的技术合作伙伴。
这里的每个文件都是**提交至公开法院案卷**的文件摘录。每一页都带有法院的归档印章（`Case 4:19-cv-07123-PJH … Filed …`）以及当事人的 Bates 编号（`NSO_WHATSAPP_…`, `WA-NSO…`），因此任何摘录都可以追溯到其原始的归档文件和页码。
由于材料数量庞大，我们使用了自动化工具从海量的法院卷宗中识别并提取关键文件，并构建了此索引。附带研究报告引用的所有文件均已由人工进行审查与核对。
| 案卷 | 归档日期 | 归档方 | 文件内容 |
| --- | --- | --- | --- |
| **[Dkt. 796](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.0.pdf)** | 2025年9月15日 | NSO / Q Cyber（被告） | 关于公开提交此前已密封展示文件的通知。**主要来源**，包含20个附件，含有证词笔录、专家报告以及 NSO 自己的内部产品和工程文档。 |
| **[Dkt. 679-6](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.679.6.pdf)** | 2025年4月4日 | WhatsApp / Meta（原告） | 原告关于提交制裁辩护说明的通知的展示文件 6：共139页的 NSO 文件，在证据开示阶段提供（涉及营收、定位目标、销售材料）。 |
| **[Dkt. 674](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.674.0.pdf)** | 2025年4月4日 | NSO / Q Cyber（被告） | 关于公开提交展示文件以支持 NSO 反对原告制裁动议的通知。 |
| **[Dkt. 320](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.320.0.pdf)** | 2024年6月26日 | WhatsApp / Meta（原告） | 关于发出司法调查委托书的动议。其展示文件 11 附上了2019年10月的原始起诉书及其附件，包括作为文件 1-1 提交的 NSO-加纳经销商协议。 |
| **[Dkt. 825](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.825.0.pdf)** | 2025年12月26日 | NSO / Q Cyber（被告） | NSO 第九巡回法院上诉（案号 25-7380）的案卷摘录，转发了此前处于密封状态的展示文件，包括一份2018年的 Q Cyber 客户许可协议（原始案卷号 Dkt. 813-4）。 |
Dkt. 796 的每个附件都是一份展示文件。有些附件捆绑了多份展示文件；下方的“页码”列始终给出**在所引用附件内**的页码范围，与每一页上印有的 `Page X of Y` 印章保持一致。
## 文件目录
每个条目都链接到本仓库中整理的 PDF（左侧）以及 CourtListener 上的原始归档文件（右侧）。
### 1. Heaven, Eden 和 Erised：WhatsApp 安装向量
NSO 构建的三个连续的 zero-click 向量，用于通过 WhatsApp 安装 Pegasus，以及驱动它们的服务器。
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [heaven-system-architecture-spec.pdf](documents/heaven-eden-erised/heaven-system-architecture-spec.pdf) | “Heaven System Architecture Specification – DRAFT”（2017年11月）。将 Heaven 定义为“一个基于 WhatsApp 漏洞的 zero-click 安装过程，最初为 Android 手机实现”，并详细说明了新的“WIS”服务、后端、honeypot 以及带指纹服务器的安装流程。 | [Dkt. 796-16](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.16.pdf), pp. 16-19 |
| [heaven-full-prd.pdf](documents/heaven-eden-erised/heaven-full-prd.pdf) | Heaven 完整产品需求文档（“Pegasus 2 – Heaven”），发布日期为2017年12月27日：包含工作流和需求、部署要求以及合规矩阵。 | [Dkt. 796-16](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.16.pdf), pp. 4-9 |
| [wis-refactoring-heaven-separation.pdf](documents/heaven-eden-erised/wis-refactoring-heaven-separation.pdf) | “Pegasus 3 – WIS Refactoring (Heaven Separation)”（2018年4月）。将 Heaven 业务逻辑从 Pegasus 3 服务器移出，转移到“增强型 WIS” / Android Backend Server (ABS)；列出了 Pegasus 3 服务器在颁发安装密钥和提供 payload zip 文件（“exploits, PE, etc.”）方面的作用。 | [Dkt. 796-16](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.16.pdf), pp. 11-14 |
| [heaven-2.7.1-technical.pdf](documents/heaven-eden-erised/heaven-2.7.1-technical.pdf) | Heaven 2.7.1 技术页面。 | [Dkt. 796-16](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.16.pdf), pp. 21-24 |
| [heaven-accounts-availability.pdf](documents/heaven-eden-erised/heaven-accounts-availability.pdf) | Heaven WhatsApp 账号可用性页面。 | [Dkt. 796-16](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.16.pdf), pp. 30-31 |
| [how-to-create-abs-server.pdf](documents/heaven-eden-erised/how-to-create-abs-server.pdf) | “How to create ABS server”（2019年5月）：通过 NSO 内部的 Jenkins 部署“为 Eden 取代 WIS 服务器”的 Android Backend Server 的操作手册；展示了配置路径 `attackVectors/heaven/config.json` 和操作员 Support UI。 | [Dkt. 796-16](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.16.pdf), pp. 33-35 |
| [erised-system-architecture-spec.pdf](documents/heaven-eden-erised/erised-system-architecture-spec.pdf) | “Erised (Covert Android) System Architecture”规范（2019年9月）。将 Erised 定义为“一种隐蔽的 Android 安装向量”；涵盖了潜在目标、OpSec 变更、新的 ABS “Next Credential”状态代码以及更长的安装超时时间。 | [Dkt. 796-17](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.17.pdf), pp. 13-44 (Exhibit 50) |
| [erised-deviate-installations-log.pdf](documents/heaven-eden-erised/erised-deviate-installations-log.pdf) | Erised “Deviate installations on white environment – from 12/01/2020”日志，转载于 Youssef 专家报告中：一份针对运行特定 WhatsApp 版本、kernel 的 Samsung 手机的 Erised (`ER-xx`) 测试安装表格，包含安装实例 ID。 | [Dkt. 796-3](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.3.pdf), pp. 141-161 |
| [erised-installation-dashboard.pdf](documents/heaven-eden-erised/erised-installation-dashboard.pdf) | 同一份 Erised 安装仪表板（自2020年1月12日起）的独立展示文件版本。 | [Dkt. 796-12](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.12.pdf), pp. 1-31 (Exhibit 21) |
| [eden-covert-vector-pages.pdf](documents/heaven-eden-erised/eden-covert-vector-pages.pdf) | 关于 Eden 隐蔽向量（2019年4月 - 2020年3月）的 Confluence 页面：“Installation Vectors / Eden – Archive only”，包含 *Hummingbird* 操作指南（安装失败条件、每个目标的最大呼叫次数、每日尝试和速率限制、“Hummingbird Vector is currently NOT operational!”），以及“Covert (Eden) Config”。 | [Dkt. 796-17](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.17.pdf), pp. 2-11 (Exhibits 46-49) |
| [devices-for-sales-environment.pdf](documents/heaven-eden-erised/devices-for-sales-environment.pdf) | “Devices for Sales environment”：一份测试设备库存表，列出了 NSO ID、电话号码以及用于验证安装的 Samsung 和 LG 手机型号（及 Android 版本）。 | [Dkt. 796-13](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.13.pdf), p. 2 (Exhibit 22) |
| [heaven-emulators-deployment.pdf](documents/heaven-eden-erised/heaven-emulators-deployment.pdf) | “Emulators environment installation”操作手册：部署 Heaven WIS-EMULATORS 环境（来自 OVF 并带有 Frida, DHCP, ADB 和 Orchestrator 的 WIS-MNG 服务器），该模拟器设置用于针对 WhatsApp 开发 Heaven 向量。 | [Dkt. 796-13](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.13.pdf), pp. 4-5 (Exhibit 23) |
### 2. 产品与功能
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [pegasus-3-introduction.pdf](documents/products-and-capabilities/pegasus-3-introduction.pdf) | “Pegasus 3 – Introduction”：介绍 Pegasus 3 系统的 Q Cyber Technologies 产品推介演示文稿。 | [Dkt. 796-13](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.13.pdf), pp. 7-30 (Exhibit 24) |
| [pegasus-system-roles.pdf](documents/products-and-capabilities/pegasus-system-roles.pdf) | “Pegasus System Roles”：介绍 Pegasus 系统角色的 Q Cyber Technologies 产品推介演示文稿。 | [Dkt. 796-13](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.13.pdf), pp. 32-45 (Exhibit 25) |
| [pegasus-product-description-2018.pdf](documents/products-and-capabilities/pegasus-product-description-2018.pdf) | Pegasus 产品描述（2018年）：功能概述演示文稿。 | [Dkt. 796-15](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.15.pdf), pp. 2-36 (Exhibit 32) |
| [mobile-endpoint-product-description.pdf](documents/products-and-capabilities/mobile-endpoint-product-description.pdf) | “Mobile Endpoint – Product Description”。 | [Dkt. 796-15](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.15.pdf), pp. 38-59 (Exhibit 33) |
| [mobile-endpoint-solutions.pdf](documents/products-and-capabilities/mobile-endpoint-solutions.pdf) | 移动端点解决方案概述。 | [Dkt. 674](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.674.0.pdf), pp. 25-28 |
| [endpoint-agent.pdf](documents/products-and-capabilities/endpoint-agent.pdf) | 端点 Agent 页面。 | [Dkt. 674](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.674.0.pdf), p. 32 |
| [active-data-collection-slides.pdf](documents/products-and-capabilities/active-data-collection-slides.pdf) | “Active data collection”演示文稿。 | [Dkt. 796-14](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.14.pdf), pp. 2-37 (Exhibit 26) |
| [active-data-collection-training.pdf](documents/products-and-capabilities/active-data-collection-training.pdf) | Active data collection 培训演示文稿。 | [Dkt. 796-14](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.14.pdf), pp. 49-87 (Exhibit 28) |
| [covert-vectors-guidelines.pdf](documents/products-and-capabilities/covert-vectors-guidelines.pdf) | 隐蔽向量指南（*Hummingbird* 隐蔽向量指南）。 | [Dkt. 796-14](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.14.pdf), pp. 39-47 (Exhibit 27) |
| [nso-intelligence-capabilities-deck.pdf](documents/products-and-capabilities/nso-intelligence-capabilities-deck.pdf) | NSO 功能展示（“Data to Intelligence”）：NSO 认为其产品面临的收集挑战（端到端加密、设备安全层、云端数据、设备更换），以及 Pegasus 3 (PGS3) 的云端提取和调查能力。 | [Dkt. 674](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.674.0.pdf), pp. 17-23 (Exhibit 13) |
### 3. 发布与版本
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [pegasus-2.50-android-release-notes.pdf](documents/releases-and-versions/pegasus-2.50-android-release-notes.pdf) | Pegasus 2.50 (Android) 发行说明，2018年1月25日：“Heaven – the first 0-clicks installation vector for Broad Android devices。”支持范围：WhatsApp 2.17.395 / 2.17.427 / 2.18.9；Android 5.0-7.X；32位和64位；“不支持 kernel 版本为 4.4 的设备”；“不支持 Samsung Galaxy S8, S8+, Note 8”。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), p. 13 |
| [pegasus-2.65-release-notes.pdf](documents/releases-and-versions/pegasus-2.65-release-notes.pdf) | Pegasus 2.65 (iOS, Android, P2) 发行说明，2018年4月：iOS 收集/外传速度提升；Heaven 现在支持 Galaxy S8/S8+/Note 8 和 WhatsApp 2.18.92；增加了 Snapchat 收集功能。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), p. 17 |
| [pegasus-2.-component-versions.pdf](documents/releases-and-versions/pegasus-2.70-component-versions.pdf) | Pegasus 2.70 发行/组件版本摘要（Android 包、UI、Pegasus Server 和 Installation Server 版本；升级脚本）。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), p. 23 |
| [android-device-exploit-support.pdf](documents/releases-and-versions/android-device-exploit-support.pdf) | “Android device requests”：特定 Android 手机和操作系统版本的内部追踪器，以及提权 exploit（代号“scarab”、“octopus”、“peter”）是否适用于各个版本。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), p. 10 |
| [pegasus-2.65-technical-summary.pdf](documents/releases-and-versions/pegasus-2.65-technical-summary.pdf) | Pegasus 2.65.0 技术摘要（Confluence 页面）：该版本 iPhone 的执行摘要和任务列表。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 20-24 (Exhibit 70) |
| [pegasus-2.66-android-release-notes.pdf](documents/releases-and-versions/pegasus-2.66-android-release-notes.pdf) | Pegasus 2.66.0 (Android) 发行说明（Confluence 页面）。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 32-33 (Exhibit 73) |
| [pegasus-2.67.1-android-release-notes.pdf](documents/releases-and-versions/pegasus-2.67.1-android-release-notes.pdf) | Pegasus 2.67.1 (Android) 发行说明（Confluence 页面），包括替换所附 exploit 组配置的说明和 QA 测试清单。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 35-38 (Exhibit 74) |
| [pegasus-2.70-android-release-planning.pdf](documents/releases-and-versions/pegasus-2.70-android-release-planning.pdf) | Pegasus 2.70 (Android & P2 Platform) 发布计划包：Confluence 上的“Released Versions”、“Android Agent Release Notes”和“2.70 (Android)”页面，包含 Heaven 功能优先级路线图（WIS 改进、部分指纹、64 位指示、Samsung S8 Oreo kernel 支持、LG G5 / OnePlus 3）、防滥用更新和基于各项功能要求进行测试 (FR) 的表格；引用了 `SilentExploitGroupsMapping.xml` 和 `PS settings.config`。 | [Dkt. 796-20](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.20.pdf), pp. 2-48 (Exhibits 76-90) |
| [pegasus-2.52-android-release-notes.pdf](documents/releases-and-versions/pegasus-2.52-android-release-notes.pdf) | Pegasus 2.52 (Android) 发行说明（2018年2月15日获批）：增加了对当时最新的 WhatsApp 2.18.46 版本的支持以及进一步的 Heaven 增强。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), p. 15 (Exhibit 68) |
| [pegasus-2.65-release-highlights.pdf](documents/releases-and-versions/pegasus-2.65-release-highlights.pdf) | Pegasus 2.65.0 (Android, P2 Platform) 发行亮点：收集速度“提升了三倍多”，外传速度“提升了 6 倍”，安装后防止休眠，以及稳定性修复；指向“2.65 release meeting”演示文稿。这是上述 2.65 发行说明包含更多细节的伴生文件。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 26-27 (Exhibit 71) |
| [pegasus-2.66-heaven-beta-release-note.pdf](documents/releases-and-versions/pegasus-2.66-heaven-beta-release-note.pdf) | Pegasus 2.66 (Android) 发行说明（2018年4月17日）：批准用于 Heaven beta 客户的生产环境，并定位为 Heaven GA（General Availability）版本的候选版本，对 Heaven 安装流程进行了增强。这是上述 2.66.0 说明的早期修订伴生版本。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 29-30 (Exhibit 72) |
| [pegasus-2.67.1-android-release-highlights.pdf](documents/releases-and-versions/pegasus-2.67.1-android-release-highlights.pdf) | Pegasus 2.67.1 (Android) 发行亮点（2018年5月23日修订，5月14日发布）：Android OpSec 增强，包括 Heaven 呼叫者号码清理（Agent 将主叫号码更改为无效号码）、agent-lite 日志和看门狗添加，以及说明 Wiko 不支持通话记录的注释。这是上述 2.67.1 技术摘要的后期修订伴生版本。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 40-41 (Exhibit 75) |
| [pegasus-2.70-abuse-prevention-updates.pdf](documents/releases-and-versions/pegasus-2.70-abuse-prevention-updates.pdf) | Pegasus 2.70 (Android & P2 Platform) “Abuse Prevention & White list updates”页面（5月31日 / 6月7日发布）：随 2.70 版本一起发布的防滥用和白名单更改。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 2-3 (Exhibit 63) |
| [pegasus-3-pony-whatsapp-agent.pdf](documents/releases-and-versions/pegasus-3-pony-whatsapp-agent.pdf) | Pegasus 3 Pony (WhatsApp Agent) 支持规范（Confluence 页面）。 | [Dkt. 796-18](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.18.pdf), pp. 2-5 |
### 4. 操作与 OpSec
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [opsec-rule-engine-prd.pdf](documents/operations-and-opsec/opsec-rule-engine-prd.pdf) | “Opsec Rule Engine – PRD”（2020年3月）：对强制执行操作安全限制（数量和时间限制、冷却时间、安装限制）的规则引擎的要求，以便操作“在最低暴露风险下执行”。 | [Dkt. 796-18](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.18.pdf), pp. 14-20 |
| [opsec-alerts.pdf](documents/operations-and-opsec/opsec-alerts.pdf) | OpSec 警报页面。 | [Dkt. 796-18](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.18.pdf), pp. 22-23 |
| [system-bill-of-materials.pdf](documents/operations-and-opsec/system-bill-of-materials.pdf) | “Bill of Materials (BOM) for System Installation Hardware”：交付给客户以运行 Pegasus 安装的 Dell PowerEdge 服务器硬件。 | [Dkt. 796-15](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.15.pdf), pp. 61-67 (Exhibit 35) |
| [opsec-home.pdf](documents/operations-and-opsec/opsec-home.pdf) | NSO 操作安全领域的“OpSec Home” Confluence 登录页面。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), p. 5 (Exhibit 64) |
| [opsec-field-learning-cases.pdf](documents/operations-and-opsec/opsec-field-learning-cases.pdf) | “‘Field learning’ cases”：收集操作经验教训和防滥用 QA 测试用例（例如针对防滥用限制测试 Erised）的 OpSec Confluence 页面。 | [Dkt. 796-19](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.19.pdf), pp. 7-8 (Exhibit 65) |
### 5. 业务与客户
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [nso-q2-2018-board-meeting.pdf](documents/business-and-customers/nso-q2-2018-board-meeting.pdf) | NSO 2018年第二季度董事会会议幻灯片，作为 Gazneli 证词笔录期间的展示文件提交；引用了客户代号以及 Storm 和 Nighthawk 向量。 | [Dkt. 796-5](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.5.pdf), pp. 110-113 |
| [customer-revenue-list.pdf](documents/business-and-customers/customer-revenue-list.pdf) | 各个账号的 Pegasus 营收表（2018-2020年），按产品以及是否提供隐蔽/触发式 iOS 和 Android 版本进行细分（这是损害赔偿金和相关营收分析的基础）。 | [Dkt. 679-6](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.679.6.pdf), pp. 104-117 |
| [whatsapp-targets-per-country.pdf](documents/business-and-customers/whatsapp-targets-per-country.pdf) | 与 WhatsApp VoIP 向量相关的 NSO 命令控制基础设施和各个国家/地区定位目标的表格（在公开版本中进行了大量涂黑处理）。 | [Dkt. 679-6](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.679.6.pdf), pp. 119-129 |
| [pitch-happy-flow.pdf](documents/business-and-customers/pitch-happy-flow.pdf) | “Happy Flow”销售演示/演示材料。 | [Dkt. 679-6](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.679.6.pdf), pp. 94-102 |
| [nso-ghana-agreement.pdf](documents/business-and-customers/nso-ghana-agreement.pdf) | Infraloks Development Limited (加纳) 与加纳共和国国家通信局之间签订的 2015 年经销商协议（2015年12月17日），转售 NSO Group 网络情报解决方案——使用“the System”的许可证，附带“Exhibit C – Installation Requirements”。作为文件 1-1 附于 WhatsApp 2019年10月的原始起诉书中，并在此从司法委托调查动议中予以转发。 | [Dkt. 320](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.320.0.pdf), pp. 111-156 (Exhibit 11, Document 1-1) |
| [qcyber-customer-agreement-2018.pdf](documents/business-and-customers/qcyber-customer-agreement-2018.pdf) | Q Cyber Technologies SARL (卢森堡) 与一名涂黑的最终用户之间的 Pegasus 客户许可协议（2018年11月1日）：定义、System/Licence 条款以及展示文件 A-F（系统和服务描述、对价、安装要求、安全指南、最终用户证明表格、服务级别协议）。 | [Dkt. 825](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.825.0.pdf), pp. 58-78 (originally Dkt. 813-4) |
### 6. 证词
宣誓证词有两个不同的来源，在下方分开列出：Meta 在其新闻编辑室中发布的证词笔录指定摘录，以及法院案卷本身的摘录。
#### 6.1 Meta 发布的证词笔录指定摘录
针对四位 NSO Group 高管的证词**视频记录指定摘录**——即各方指定在庭审中播放的每位证人录像证词的节选（标记为 *P's Narrowed* / *D's Counters*）。Meta 在其 2025年5月6日的新闻编辑室帖子 [“Winning the Fight Against Spyware Merchant NSO”](https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/) 中将这些作为**非官方**记录发布，“以便研究人员和记者能够查阅这些记录”；Meta 指出，一旦官方法院庭审记录可用，它打算将其补充进去。
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [WhatsApp-v-NSO-Shohat-Transcrips_Case-4-19-cv-07123-PJH.pdf](documents/testimony/WhatsApp-v-NSO-Shohat-Transcrips_Case-4-19-cv-07123-PJH.pdf) | **Yaron Shohat**，NSO Group 首席执行官（作证时间：2024年8月29日）。将声明“Pegasus 2.5 is officially approved for production”以及“This version introduces Heaven, the first zero clicks installation vector for broad Android devices.”的发行说明列入记录。 | Meta Newsroom, 2025年5月6日: [post](https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/) · [original PDF](https://about.fb.com/wp-content/uploads/2025/05/WhatsApp-v-NSO-Shohat-Transcrips_Case-4-19-cv-07123-PJH.pdf) |
| [WhatsApp-v-NSO-Gazneli-Transcrips_Case-4-19-cv-07123-PJH.pdf](documents/testimony/WhatsApp-v-NSO-Gazneli-Transcrips_Case-4-19-cv-07123-PJH.pdf) | **Tamir Gazneli**，NSO 研发副总裁（作证时间：2024年9月4日）。关于他领导构建 WhatsApp 安装向量的团队以及向量如何到达目标设备的证词。 | Meta Newsroom, 2025年5月6日: [post](https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/) · [original PDF](https://about.fb.com/wp-content/uploads/2025/05/WhatsApp-v-NSO-Gazneli-Transcrips_Case-4-19-cv-07123-PJH.pdf) |
| [WhatsApp-v-NSO-Gil-Transcrips_Case-4-19-cv-07123-PJH.pdf](documents/testimony/WhatsApp-v-NSO-Gil-Transcrips_Case-4-19-cv-07123-PJH.pdf) | **Sarit Bizinsky Gil**，NSO 全球业务运营副总裁（作证时间：2024年9月6日）。关于哪些客户获得了使用该间谍软件的权利、NSO 获得的对价，以及客户为隐蔽向量额外支付了多少费用的证词。 | Meta Newsroom, 2025年5月6日: [post](https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/) · [original PDF](https://about.fb.com/wp-content/uploads/2025/05/WhatsApp-v-NSO-Gil-Transcrips_Case-4-19-cv-07123-PJH.pdf) |
| [WhatsApp-v-NSO-Eshkar-Transcrips_Case-4-19-cv-07123-PJH.pdf](documents/testimony/WhatsApp-v-NSO-Eshkar-Transcrips_Case-4-19-cv-07123-PJH.pdf) | **Ramon Eshkar**，NSO 副总裁（作证时间：2024年8月27日），与负责生成攻击中使用的 WhatsApp 账号的 NSO “White Services”部门相关。 | Meta Newsroom, 2025年5月6日: [post](https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/) · [original PDF](https://about.fb.com/wp-content/uploads/2025/05/WhatsApp-v-NSO-Eshkar-Transcrips_Case-4-19-cv-07123-PJH.pdf) |
这些庭审指定的证词摘录来自与 Dkt. 796 中出现的更完整证词笔录相同的取证过程——例如 Shohat 的在 [796-2](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.2.pdf) / [796-10](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.10.pdf)，Gazneli 的记录在 [796-4](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.4.pdf) / [796-5](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.5.pdf)。对于 Eshkar，其更完整的证词记录已在下方提取为 [eshkar-deposition.pdf](documents/testimony/eshkar-deposition.pdf)。 |
#### 6.2 案卷摘录
与上面的指定摘录不同，这些是提交至公开案卷的 Dkt. 796 的摘录，与本仓库中的其他所有文件一样，按附件和页码进行引用。Eshkar 是 NSO 的一名高管，与上面指定摘录中出现的他的证词相比，这里的版本是短得多的剪辑版；Shaner 曾为 NSO 的美国关联公司在美国销售 NSO 产品，而 Vance 是原告聘请的专家。
| 文件 | 摘要 | 来源 |
| --- | --- | --- |
| [eshkar-deposition.pdf](documents/testimony/eshkar-deposition.pdf) | **Ramon Eshkar**，NSO 副总裁（作证时间：2024年8月27日）——上文指定摘录的更完整案卷摘录。从面向客户的角度指明了隐蔽的 WhatsApp 安装向量：当被问及大约在2018年上线的 WhatsApp zero-click 向量的名称时，他回答“internal names were like Eden, or Heaven”，将 Erised 作为第三个添加进去，并描述 Hummingbird 是 NSO 在外部使用的“此类隐蔽向量系列的统称”。他将首次涉及 WhatsApp 的隐蔽安装追溯到“2018年夏季左右”，并表示这些向量仅适用于 Android。关于向其汇报的 NSO “white services”部门，但他作证称该部门在2018或2019年并不由他负责：“一个负责创建账号并购买我们所需的其他服务的部门”，以“匿名方式”设置，因此无法将它们“与客户或 NSO 联系起来”，使用“与客户或公司没有直接关系的财务手段”——例如用别人名字办理的“一张信用卡”。 | [Dkt. 796-5](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.5.pdf), pp. 72-85 (Exhibit 7) |
| [shaner-deposition.pdf](documents/testimony/shaner-deposition.pdf) | **Joshua Shaner**，NSO 美国销售关联公司 **WestBridge Technologies** 的前员工（作证时间：2024年9月17日）。关于 WestBridge 对 NSO 产品的销售和演示，以及 WestBridge 与 NSO 之间关系的证词。当被问及在演示 Android 上的 zero-click 安装时使用了哪些向量时，他回答说：“From what I remember, Eden would be one of them.” | [Dkt. 796-5](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.5.pdf), pp. 115-143 (Exhibit 27) |
| [vance-expert-report.pdf](documents/testimony/vance-expert-report.pdf) | **Anthony Vance**（原告专家）的专家报告，2024年8月30日。提出意见认为，2019年5月的攻击是使用 NSO 恶意软件实施的，并且目标设备上安装了 Pegasus/Phantom。将“Heaven”识别为“与 Pegasus 相关的隐蔽或‘zero-click’安装向量的代号，该向量通过利用 WhatsApp 进行工作”，并将“Hummingbird”识别为“NSO 用于使用 WhatsApp 的安装向量系列（包括 Heaven 攻击向量）的统称”。引用了 NSO 在 WhatsApp 进行修复后暂停 Heaven 和 Hummingbird 安装的内部消息。 | [Dkt. 796-6](https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.796.6.pdf), pp. 2-18 (Exhibit B) |
其余的专家报告（David Youssef, Terrence McGraw）位于 Dkt. 796 的附件中；完整图表请参见 [`dockets/`](dockets/)。
### 证据图像
| 图像 | 显示内容 |
| --- | --- |
| [pegasus-operator-installations-dashboard.png](media/pegasus-operator-installations-dashboard.png) | Pegasus 操作员控制台（“Installations / Targets”），2019年4月，列出了运行 **iOS 12.1.4** 的 Apple iPhone X 和 iPhone 7 上的活动目标，以及运行 **Android 7.0 / 7.1.1** 的 Samsung Galaxy 手机上的活动目标。 |
| [pegasus-operator-installation-status-peru.jpg](media/pegasus-operator-installation-status-peru.jpg) | 针对秘鲁目标的**隐蔽**安装（2019年5月2日）的 Pegasus “Installation Status”屏幕，带有掩护故事位置“Country: Peru, Network: Movistar”。 |
| [wis-emulators-vectors-page1.png](media/wis-emulators-vectors-page1.png) / [page2.png](media/wis-emulators-vectors-page2.png) | 关于“WIS-EMULATORS”环境的 NSO 内部说明（2018年7月10日）：在 Frida 监听下运行 WhatsApp 的 Android 模拟器，用于构建 Heaven 向量。 |
## 仓库结构
```
.
├── README.md ← this catalogue
├── documents/ ← the curated, renamed exhibit extracts
│ ├── heaven-eden-erised/
│ ├── products-and-capabilities/
│ ├── releases-and-versions/
│ ├── operations-and-opsec/
│ ├── business-and-customers/
│ └── testimony/
├── media/ ← operator-console screenshots and evidence images
└── dockets/ ← index of the source court filings (raw PDFs
referenced via CourtListener, not committed)
```
## 案件背景
在 NSO Group 客户使用 WhatsApp zero-click exploit 于2019年4月至5月针对大约 1,400 台设备进行 Pegasus 攻击后，WhatsApp 和 Meta 于2019年10月起诉了 NSO Group。2024年12月，法院根据《计算机欺诈和滥用法》和加利福尼亚州《综合计算机数据访问和欺诈法》作出了对 NSO 不利的即决判决。2025年5月，陪审团裁定给予损害赔偿金。本仓库中的文件是在该诉讼的制裁和即决判决阶段解密并公开提交的。
## 使用与引用这些文件
请引用原始归档文件而不是此仓库作为主要来源。每一页都带有您所需的引用信息：案号、案卷和附件（`Document 796-16`），以及页码（`Page 16 of 35`）。原始卷宗和展示文件的公开存档可在 CourtListener 上获取，其链接贯穿于此目录中，并索引在 [`dockets/`](dockets/) 中。
标签：Pegasus, 威胁情报, 安全研发, 开发者工具, 技术分析, 数据泄露, 法律文件, 网络安全审计, 网络安全研究, 网络情报, 间谍软件