Pegasus 内幕：来自 WhatsApp 诉 NSO Group 案的关键文件

本仓库收录了在 WhatsApp Inc. and Meta Platforms, Inc. v. NSO Group Technologies Limited and Q Cyber Technologies Limited 一案中进入公开案卷的一组精选 NSO Group 内部文件、产品材料和宣誓证词，案件编号 4:19-cv-07123-PJH（美国加利福尼亚北区联邦地区法院）。

本仓库配套一份技术分析 Pegasus 内幕：全球最臭名昭著间谍软件系统的演变，由 Amnesty International 的 Security Lab 发布，该实验室在 Forbidden Stories 协调的新合作调查 Pegasus Project：摩洛哥间谍机器内幕 中担任技术合作伙伴。

此处的每个文件都是从公开法院案卷中提交的文件中提取的摘录。每页都带有法院的提交印章（Case 4:19-cv-07123-PJH … Filed …）以及双方当事人的 Bates 编号（NSO_WHATSAPP_…、WA-NSO…），因此任何摘录都可以追溯到其来源提交文件和页码。

本仓库中的所有文件现在均属于公有领域，是公开的法院证据。 部分文件带有 "HIGHLY CONFIDENTIAL – ATTORNEYS' EYES ONLY" 印章。那是它们在诉讼期间、法院下令公开提交之前的指定标记； 该印章只是那段历史的记录， 对它们当前的状态没有任何影响。

由于材料数量庞大，我们使用自动化工具从大量法院提交文件中识别并提取关键文件，并构建了本索引。随附研究简报中引用的所有文件均已人工审核并标注出处。

Dkt. 796 的每个附件都对应一份证据。有些附件捆绑了多份证据；下表中的“Pages”列给出的始终是所引用附件内的页码范围，与每页上打印的 Page X of Y 印章一致。

文档目录

每个条目均链接到本仓库中精选的 PDF（左侧）以及 CourtListener 上的来源提交文件（右侧）。

1. Heaven、Eden 和 Erised：WhatsApp 安装向量

NSO 为通过 WhatsApp 安装 Pegasus 而构建的三个连续零点击向量，以及驱动它们的服务器。

2. 产品与能力

3. 发布与版本

4. 运营与 OpSec| 文档 | 摘要 | 来源 |

| --- | --- | --- | | opsec-rule-engine-prd.pdf | “Opsec Rule Engine – PRD”（2020年3月）：对一个规则引擎的需求，该引擎强制实施操作安全限制（数量和时间限制、冷却时间、安装限制），以使操作“以最低暴露风险执行”。 | Dkt. 796-18, 第14-20页 | | opsec-alerts.pdf | OpSec 警报页面。 | Dkt. 796-18, 第22-23页 | | system-bill-of-materials.pdf | “用于系统安装硬件的物料清单（BOM）”：运送给客户以运行 Pegasus 安装的 Dell PowerEdge 服务器硬件。 | Dkt. 796-15, 第61-67页（附件 35） | | opsec-home.pdf | NSO 操作安全空间的“OpSec Home”Confluence 着陆页。 | Dkt. 796-19, 第5页（附件 64） | | opsec-field-learning-cases.pdf | “‘现场学习’案例”：OpSec Confluence 页面，收集操作教训和防滥用 QA 测试用例（例如针对防滥用限制测试 Erised）。 | Dkt. 796-19, 第7-8页（附件 65） |

5. 业务与客户

6. 证词

宣誓证词来自两个不同的来源，下文分开列出：Meta 在其新闻室发布的证言指定片段，以及从法院案卷本身提取的内容。

6.1 Meta 发布的证言指定片段

四位 NSO 集团高管的证言录像文字记录指定片段——双方指定在庭审时播放的每位证人的录制证言摘录（标记为 P's Narrowed / D's Counters）。Meta 于2025年5月6日在其新闻室帖子 “Winning the Fight Against Spyware Merchant NSO” 中将这些内容作为非官方记录发布，“以便研究人员和记者能够获取这些记录”；Meta 表示，一旦官方法庭文字记录可用，它将予以补充。

这些庭审指定片段来自同一批证言，其更完整的文字记录出现在 Dkt. 796 中——例如 Shohat 见 796-2 / 796-10，Gazneli 见 796-4 / 796-5。Eshkar 的更完整文字记录则提取如下：eshkar-deposition.pdf。

6.2 从案卷中提取的内容

与上面的指定片段不同，这些是从公开案卷中提交的 Dkt. 796 中提取的内容，并像本仓库中的其他所有文件一样按附件和页码引用。Eshkar 是 NSO 高管，他的同一证言在上面的指定片段中以更短的剪辑出现；Shaner 为 NSO 的美国关联公司在美国销售 NSO 产品，Vance 是原告聘请的专家。

其余专家报告（David Youssef、Terrence McGraw）位于 Dkt. 796 的附件中；完整索引见 dockets/。

证据图片

仓库结构```

. ├── README.md ← this catalogue ├── documents/ ← the curated, renamed exhibit extracts │ ├── heaven-eden-erised/ │ ├── products-and-capabilities/ │ ├── releases-and-versions/ │ ├── operations-and-opsec/ │ ├── business-and-customers/ │ └── testimony/ ├── media/ ← operator-console screenshots and evidence images └── dockets/ ← index of the source court filings (raw PDFs referenced via CourtListener, not committed)

## 案件背景

WhatsApp 和 Meta 于 2019 年 10 月起诉 NSO Group，此前 NSO Group 的客户在 2019 年 4 月至 5 月期间利用 WhatsApp 的零点击漏洞，以 Pegasus 攻击了约 1,400 台设备。2024 年 12 月，法院就 NSO 在《计算机欺诈与滥用法》和加利福尼亚州《综合计算机数据访问与欺诈法》下的责任作出即决判决；2025 年 5 月，陪审团裁定损害赔偿。本仓库中的文件是在该诉讼的制裁和即决判决阶段解封并公开提交的。

## 使用及引用这些文件

请引用原始提交文件，而非本仓库，作为主要来源。每一页都包含你所需的引注信息：案件编号、案卷及附件（`Document 796-16`）、页码（`Page 16 of 35`）。原始案卷和证据的公开档案可在 CourtListener 上获取，本目录中各处均有链接，并在 [`dockets/`](https://github.com/amnestytech/inside-pegasus/blob/main/dockets) 中编入索引。