iPhone漏洞 「零點擊」遭入侵

2021-09-15 04:30
蘋果公司新手機iPhone 13有五種顏色。
蘋果公司新手機iPhone 13有五種顏色。

  (星島日報報道)美國蘋果公司周二舉行新iPhone發布會前夕,加拿大多倫多大學互聯網保安監察組織「公民實驗室」發出警告,指臭名昭著的以色列間諜軟件公司NSO研發出新工具,可做到「零點擊」(zero-click)攻擊。它利用蘋果iMessage的漏洞,只要送出隱形訊息,即使用戶沒有做任何操作(零點擊),所用的iPhone、iPad、Apple Watch,都會被靜悄悄入侵。蘋果周一緊急發布安全更新,修補漏洞。

  調查NSO間諜軟件多年的「公民實驗室」(Citizen Lab)報告指出,一名沙特維權分子的iPhone懷疑受黑客入侵,安全研究人員在今年三月份開始挖掘線索,在手機備份中發現惡意程式和軟件,相信他的手機早在今年二月已經「中招」。手機中出現了一堆以GIF為檔案名稱的文件,但它們實際上不是這種格式。公民實驗室在檢查這些文件時發現了攻擊代碼,根據命名規則和軟件的行為模式,非常可能是與NSO有關。

  黑客利用iMessage的一個未被發現的安全漏洞(即零日漏洞,還沒有修補程式的安全漏洞)發動「零點擊」攻擊,只要向目標發送一條隱形的訊息即可入侵手機。這項漏洞影響到所有蘋果各種平台包括iOS、OSX與watchOS。這次攻擊之所以特別令人擔憂,是因為其「零點擊」特性,目標人物即使沒有操作,不點擊任何東西,在毫不知情下,手機已遭到入侵。

  「公民實驗室」通知蘋果相關發現,蘋果已在周一立即發布更新,堵塞這個漏洞。蘋果指出,這次攻擊極其複雜,相關攻擊軟件需要花費數以百萬計美元開發,而使用期往往很短,並用於針對特定的個人,這意味着「此類攻擊對我們絕大多數用戶來說並不構成威脅」。發言人拒絕評論事件是否與NSO有關。

  路透社報道,這個漏洞存在於iMessage簡訊會自動生成圖片的機制。iMessage一直是NSO及其他「網絡軍火商」下手的目標,蘋果因此變更了iMessage架構,不過尚未能完全保護系統。網絡安全公司Lookout資深經理施萊斯說:「許多應用程式會自動幫連結建立預覽或快取,以提升使用體驗。飛馬(Pegasus)即利用這種功能悄悄感染裝置。」由NSO開發的間諜軟件「飛馬」在二〇一六年八月首次曝光。這款軟件可攻破蘋果和安卓產品的保安系統,NSO曾聲稱其客戶包括多國政府,但拒絕透露客戶和追蹤目標的詳情。通訊程式WhatsApp在今年七月才表示,多國政商界人物、記者、維權人士等,都有可能是「飛馬」攻擊目標。目前已知「飛馬」可以偷偷開啟手機相機或麥克風,並收集手機資料。

  NSO Group發表聲明,沒有直接回應「零點擊」攻擊,但表示:「NSO將繼續向世界各地的情報機關和執法部門供應挽救生命的工具,打擊恐怖主義和罪案。」

  雖然蘋果投入巨資鞏固iPhone在私隱保護和安全方面的良好聲譽,但今年在這方面還是承受了不小的壓力。本月較早前,蘋果暫停推出之前開發的用於檢測兒童色情內容的系統,有批評者稱這可能會削弱iPhone的私隱保護。

  諮詢機構Luta Security行政總裁穆蘇里斯表示,蘋果今年還不得不修復數量異常之多的iPhone漏洞,其中許多漏洞已經被網絡攻擊者利用。穆蘇里斯說:「零點擊感染非常罕見,且特別危險。」她還表示:「不過我更關心今年有多少新的、未修補的iOS安全漏洞被利用。」

  

關鍵字

最新回應

熱門文章