iMessage出现零点击攻击程式，苹果更新众多操作系统

非营利组织禁忌故事（Forbidden Stories）与国际特赦组织（Amnesty International）安全实验室（Security Lab）周日（7/18）公布了Pegasus专案调查报告，指出有5万名使用者遭到以色列骇客公司NSO Group的-客户锁定，这些客户企图于这5万名目标的手机上植入Pegasus间谍软件，而且就算是使用最新的iPhone 12手机、安装最新的iOS 14.6操作系统，都一样被入侵，使得苹果隔天（7/19）即针对iOS、watchOS、tvOS与Safari浏览器进行安全更新。

image: Amnesty International

Pegasus主要是借由手机上所安装的行动程式漏洞进驻受害者装置，例如脸书在2019年就曾控告NSO Group开采WhatsApp安全漏洞，以于WhatsApp用户的手机上植入Pegasus，隔年微软、Google、思科、GitHub、LinkedIn、VMware与互联网协会（Internet Association）更共同向法院提出意见陈述书（Amicus Brief）来力挺脸书与WhatsApp。

尽管资安社群同意iPhone可能已是全世界最安全的一般手机，然而负责该报告技术支援的国际特赦组织安全实验室却发现，NSO Group陆续开采了苹果在iPhone上内建的程式，企图植入Pegasus，从相片程式、iMessage、Safari到Apple Music，当中有一名手机被植入Pegasus的印度记者，拿的是执行最新操作系统 iOS 14.6的iPhone 12，透露出最近的iPhone机种或是iOS操作系统，都无法抵挡Pegasus攻击程式。

过去NSO Group的客户经常利用恶意简讯，将使用者导至含有Pegasus攻击程式的网站，不过，根据该实验室的鉴识，NSO Group的技术愈来愈精进，在2019年时，在iOS内建的照片程式产生特定流量之后，就会启动可疑的程序，同年也发现它们透过iMessage的零时差漏洞展开攻击，恶意程序通常是在执行可疑的iMessage账号查找功能之后展开。

2020年被用来递送Pegasus的则是Apple Music，同样是在Apple Music出现可疑流量之后，于iPhone上执行Pegasus。研究人员表示，他们无法判断骇客是直接开采Apple Music，或者Apple Music只是沙箱逃逸与权限扩张攻击链的其中一环，因为最近的研究显示，诸如 iTunes Store等内建的程式可被滥用，以于脱离Safari沙箱限制时执行浏览器攻击程式。

国际特赦组织在追踪这些受害者的手机时，发现恶意流量所存取的网域，都是属于NSO Group的Pegasus网络基础设施。

虽然苹果会定期修补各式安全漏洞，然而，研究人员却发现针对iMessage零时差漏洞的攻击程式于今年再度崛起，且相信这是Pegasus目前入侵iPhone的主要途径。在今年感染Pegasus的iPhone用户中，一名人权律师使用的是iPhone 7/iOS 14.3；一名记者使用的iPhone 6s在今年2月到4月间曾重复被感染，且当中他已更新过iOS；一名法国的人权活动家使用的是iPhone 11/iOS 14.6；一名印度记者使用iPhone XR/iOS 14.6；另一名活动家手持Phone X /iOS 14.6；就算是拿最新的iPhone 12装载最新iOS 14.6的一名印度记者，也一样难逃Pegasus的侵袭。

他们的手机都在iMessage进行可疑的账号查找功能之后出现恶意程序（如下图所示），且NSO Group不再使用自己的服务，而是采用Amazon CloudFront。研究人员认为，这代表着苹果最近的几款装置或是iOS版本都含有零时差漏洞。

image: Amnesty International

苹果很快地在周一（7/19）修补安全漏洞，所释出的新版本包括支援macOS的Safari 14.1.2、iOS 14.7、watchOS 7.6与tvOS 14.7，苹果并未说明此次的修补是否与Pegasus专案有关，也尚未公布所修补的漏洞细节。