iPhone漏洞 「零点击」遭入侵

(星岛日报报道)美国苹果公司周二举行新iPhone发布会前夕，加拿大多伦多大学互联网保安监察组织「公民实验室」发出警告，指臭名昭著的以色列间谍软件公司NSO研发出新工具，可做到「零点击」（zero-click）攻击。它利用苹果iMessage的漏洞，只要送出隐形讯息，即使用户没有做任何操作（零点击），所用的iPhone、iPad、Apple Watch，都会被静悄悄入侵。苹果周一紧急发布安全更新，修补漏洞。

调查NSO间谍软件多年的「公民实验室」（Citizen Lab）报告指出，一名沙特维权分子的iPhone怀疑受黑客入侵，安全研究人员在今年三月份开始挖掘线索，在手机备份中发现恶意程式和软件，相信他的手机早在今年二月已经「中招」。手机中出现了一堆以GIF为档案名称的文件，但它们实际上不是这种格式。公民实验室在检查这些文件时发现了攻击代码，根据命名规则和软件的行为模式，非常可能是与NSO有关。

黑客利用iMessage的一个未被发现的安全漏洞（即零日漏洞，还没有修补程式的安全漏洞）发动「零点击」攻击，只要向目标发送一条隐形的讯息即可入侵手机。这项漏洞影响到所有苹果各种平台包括iOS、OSX与watchOS。这次攻击之所以特别令人担忧，是因为其「零点击」特性，目标人物即使没有操作，不点击任何东西，在毫不知情下，手机已遭到入侵。

「公民实验室」通知苹果相关发现，苹果已在周一立即发布更新，堵塞这个漏洞。苹果指出，这次攻击极其复杂，相关攻击软件需要花费数以百万计美元开发，而使用期往往很短，并用于针对特定的个人，这意味着「此类攻击对我们绝大多数用户来说并不构成威胁」。发言人拒绝评论事件是否与NSO有关。

路透社报道，这个漏洞存在于iMessage简讯会自动生成图片的机制。iMessage一直是NSO及其他「网络军火商」下手的目标，苹果因此变更了iMessage架构，不过尚未能完全保护系统。网络安全公司Lookout资深经理施莱斯说：「许多应用程式会自动帮连结建立预览或快取，以提升使用体验。飞马（Pegasus）即利用这种功能悄悄感染装置。」由NSO开发的间谍软件「飞马」在二〇一六年八月首次曝光。这款软件可攻破苹果和安卓产品的保安系统，NSO曾声称其客户包括多国政府，但拒绝透露客户和追踪目标的详情。通讯程式WhatsApp在今年七月才表示，多国政商界人物、记者、维权人士等，都有可能是「飞马」攻击目标。目前已知「飞马」可以偷偷开启手机相机或麦克风，并收集手机资料。

NSO Group发表声明，没有直接回应「零点击」攻击，但表示：「NSO将继续向世界各地的情报机关和执法部门供应挽救生命的工具，打击恐怖主义和罪案。」

虽然苹果投入巨资巩固iPhone在私隐保护和安全方面的良好声誉，但今年在这方面还是承受了不小的压力。本月较早前，苹果暂停推出之前开发的用于检测儿童色情内容的系统，有批评者称这可能会削弱iPhone的私隐保护。

谘询机构Luta Security行政总裁穆苏里斯表示，苹果今年还不得不修复数量异常之多的iPhone漏洞，其中许多漏洞已经被网络攻击者利用。穆苏里斯说：「零点击感染非常罕见，且特别危险。」她还表示：「不过我更关心今年有多少新的、未修补的iOS安全漏洞被利用。」