9月14日消息，美國(guó)當(dāng)?shù)貢r(shí)間周一，蘋果發(fā)布了針對(duì)一個(gè)具有嚴(yán)重威脅的“零日漏洞”的安全補(bǔ)丁，該漏洞影響到蘋果所有產(chǎn)品，包括iPhone、iPad、Mac和Apple Watch。
蘋果表示，iPhone和iPad運(yùn)行的iOS 14.8，以及Apple Watch和MacOS的更新系統(tǒng)，將修復(fù)至少一個(gè)零日漏洞，并承認(rèn)該漏洞“可能已被積極利用”。
這個(gè)漏洞是加拿大多倫多大學(xué)下屬“公民實(shí)驗(yàn)室”（Citizen Lab）首先發(fā)現(xiàn)的，并敦促其用戶立即更新他們的設(shè)備。它利用了蘋果iMessage中的一個(gè)漏洞，該漏洞被利用來(lái)將以色列公司NSO Group開發(fā)的“飛馬”（Pegasus）間諜軟件推送到蘋果手機(jī)上。
“飛馬”間諜軟件允許其客戶幾乎不受任何阻礙地訪問目標(biāo)的設(shè)備，包括他們的個(gè)人數(shù)據(jù)、照片、消息和位置信息。
這次發(fā)現(xiàn)的漏洞非常嚴(yán)重，因?yàn)樗昧水?dāng)時(shí)最新的iPhone軟件，包括蘋果在5月份發(fā)布的iOS 14.4和后來(lái)的iOS 14.6。同時(shí)，該漏洞也突破了蘋果在iOS 14中發(fā)布的新防御系統(tǒng)BlastDoor，這些防御系統(tǒng)本應(yīng)通過過濾潛在的惡意代碼來(lái)防止靜默攻擊。公民實(shí)驗(yàn)室稱這種特殊的漏洞為ForcedEntry，因?yàn)樗心芰@過蘋果的BlastDoor保護(hù)。
在最新的調(diào)查中，公民實(shí)驗(yàn)室表示，他們?cè)谝幻程鼗顒?dòng)人士的iPhone上發(fā)現(xiàn)了ForcedEntry漏洞被利用的證據(jù)，當(dāng)時(shí)該手機(jī)運(yùn)行的是最新版本的iOS。研究人員表示，這一漏洞利用了蘋果設(shè)備在顯示器上渲染圖像的弱點(diǎn)。到目前為止，同樣的ForcedEntry漏洞可以在所有運(yùn)行最新軟件的蘋果設(shè)備上運(yùn)行。
公民實(shí)驗(yàn)室聲稱，他們已經(jīng)于9月7日向蘋果報(bào)告了最新發(fā)現(xiàn)。蘋果隨后推出了該漏洞的補(bǔ)丁，官方名稱為CVE-2021-30860。公民實(shí)驗(yàn)室表示，通過之前沒有公布的證據(jù)，他們堅(jiān)信NSO Group利用了ForcedEntry漏洞。
該研究人員約翰·斯科特-雷頓（John Scott-Railton）說，像iMessage這樣的即時(shí)通訊應(yīng)用越來(lái)越多地成為國(guó)家黑客行動(dòng)的目標(biāo)，最新發(fā)現(xiàn)突顯了保護(hù)這些應(yīng)用程序面臨的挑戰(zhàn)。
在一份簡(jiǎn)短的聲明中，蘋果安全工程和架構(gòu)主管伊凡·克爾斯蒂克（Ivan Krsti?）證實(shí)該公司已經(jīng)發(fā)布安全補(bǔ)丁。他說：“在發(fā)現(xiàn)iMessage的漏洞后，蘋果迅速在iOS 14.8中開發(fā)并部署了修復(fù)程序，以保護(hù)我們的用戶。我們想贊揚(yáng)公民實(shí)驗(yàn)室成功地完成了非常困難的工作，獲得了這個(gè)漏洞的樣本，以便我們能夠快速開發(fā)修復(fù)程序。”
克爾斯蒂克補(bǔ)充稱：“像這樣的攻擊非常復(fù)雜，開發(fā)成本高達(dá)數(shù)百萬(wàn)美元，通常有效期很短，而且只能被用來(lái)攻擊特定的個(gè)人。雖然這意味著它們不會(huì)對(duì)我們絕大多數(shù)用戶構(gòu)成威脅，但我們?nèi)栽诓恢＞氲乇Ｗo(hù)我們所有的客戶，我們還在不斷地為他們的設(shè)備和數(shù)據(jù)增加新的保護(hù)措施。”
事件回顧：
以色列軟件"飛馬"被曝監(jiān)聽多國(guó)政要記者 涉5萬(wàn)個(gè)電話號(hào)碼
【編譯/觀察者網(wǎng) 李煥宇】7月18日，美國(guó)《華盛頓郵報(bào)》、英國(guó)《衛(wèi)報(bào)》、法國(guó)《世界報(bào)》等全球17家媒體一齊盯上了以色列網(wǎng)絡(luò)安全公司NSO旗下的一款軟件——“飛馬”（Pegasus）。
這些媒體稱，他們拿到了一份有著5萬(wàn)多個(gè)電話號(hào)碼的清單，里面不乏人權(quán)活動(dòng)人士、記者、律師乃至政要。盡管他們沒有透露這份清單的來(lái)源，但他們稱清單里的大部分號(hào)碼來(lái)自那些所謂會(huì)“監(jiān)控本國(guó)公民”的國(guó)家，而且那些政府都是NSO的客戶。
NSO則對(duì)此矢口否認(rèn)，表示他們的軟件是用來(lái)打擊犯罪分子和恐怖分子的，只有來(lái)自人權(quán)紀(jì)錄良好國(guó)家的軍事、司法和情報(bào)機(jī)構(gòu)才能使用。
《華盛頓郵報(bào)》報(bào)道截圖
17家媒體指控以色列軟件大搞監(jiān)聽
據(jù)《華盛頓郵報(bào)》報(bào)道，法國(guó)“禁聞”（forbidden stories）組織和“大赦國(guó)際”獲取并向媒體分享了那份有著50萬(wàn)個(gè)電話號(hào)碼的清單，此后17家媒體對(duì)此進(jìn)行了深入的調(diào)查分析，調(diào)查團(tuán)由“禁聞”組織，“大赦國(guó)際”則提供了技術(shù)支持。多倫多大學(xué)專門研究“飛馬”的小組“公民實(shí)驗(yàn)室”（Citizen Lab）對(duì)大赦國(guó)際的技術(shù)手段進(jìn)行了同行評(píng)審，認(rèn)為它們是合規(guī)的。
不過，對(duì)于這份清單的具體提供者及其動(dòng)機(jī)，目前還并不清楚。
報(bào)道稱，“飛馬”會(huì)侵入這些號(hào)碼的蘋果或安卓設(shè)備，使軟件運(yùn)營(yíng)商可以提取手機(jī)的短信、照片、社交媒體信息和電子郵件，并秘密激活麥克風(fēng)和攝像頭，記錄通話。通常情況下，手機(jī)用戶會(huì)收到一條包含惡意鏈接的短信，點(diǎn)開這些鏈接就意味著入侵成功。“大赦國(guó)際”的安全實(shí)驗(yàn)室對(duì)其中67部手機(jī)的技術(shù)分析結(jié)果顯示，“飛馬”對(duì)其中的23部手機(jī)成功發(fā)動(dòng)了黑客攻擊，還有14部留有企圖滲透的跡象。監(jiān)聽時(shí)間則長(zhǎng)短不一，在某些情況下，甚至只有幾秒。
參與調(diào)查的媒體表示，他們已經(jīng)確認(rèn)了電話號(hào)碼清單里來(lái)自50多個(gè)國(guó)家的1000多人的身份。其中至少有65名企業(yè)高管、85名人權(quán)活動(dòng)人士、189名記者以及600多名政界人士和政府官員，這些記者來(lái)自美國(guó)有線電視新聞網(wǎng)（CNN）、《紐約時(shí)報(bào)》、半島電視臺(tái)等知名媒體。不過，并不是所有在清單里的電話號(hào)碼都遭到了監(jiān)聽，調(diào)查團(tuán)稱他們無(wú)法確認(rèn)具體的“受害者”數(shù)目。
其中，來(lái)自阿塞拜疆、巴林、匈牙利、印度、哈薩克斯坦、墨西哥、摩洛哥、盧旺達(dá)、沙特阿拉伯和阿拉伯聯(lián)合酋長(zhǎng)國(guó)的人占了多數(shù)。不過這些國(guó)家間的差距也很大，比如墨西哥有1.5萬(wàn)個(gè)電話號(hào)碼在清單上，而印度只有幾百個(gè)。報(bào)道稱，同遭肢解的沙特記者賈馬爾·哈蘇吉關(guān)系密切人士的手機(jī)也遭到了入侵，調(diào)查團(tuán)預(yù)計(jì)將在未來(lái)幾天公布關(guān)于這些手機(jī)遭入侵更多細(xì)節(jié)。
NSO矢口否認(rèn)
對(duì)于調(diào)查團(tuán)的指控，NSO堅(jiān)決否認(rèn)。他們認(rèn)為調(diào)查夸大其詞，毫無(wú)根據(jù)，該公司表示，他們沒有運(yùn)營(yíng)可以授權(quán)給客戶的間諜軟件，并稱公司關(guān)心記者、人權(quán)活動(dòng)人數(shù)和公民社會(huì)。
其首席執(zhí)行官胡利奧（Shalev Hulio）在接受媒體采訪時(shí)表示：“我們理解，在某些情況下，我們的客戶可能誤用系統(tǒng)。但就像我們?cè)赱NSO的]透明度和責(zé)任報(bào)告中所報(bào)告的那樣，我們已經(jīng)為誤用的客戶關(guān)閉了系統(tǒng)。”
他還稱，在過去一年，NSO因涉嫌侵犯人權(quán)而終止了兩份合同，但他拒絕透露涉及哪些國(guó)家。NSO表示，他們的客戶包括40個(gè)國(guó)家的60多個(gè)情報(bào)、軍事和司法機(jī)構(gòu)，但出于保密考慮，他們不會(huì)透露客戶的身份。
《華盛頓郵報(bào)》援引NSO的一份聲明稱，公司沒有運(yùn)營(yíng)間諜軟件，NSO的技術(shù)幫助防止了襲擊和爆炸，并粉碎了毒品、性交易和兒童販運(yùn)團(tuán)伙。該集團(tuán)正在執(zhí)行一項(xiàng)拯救生命的使命，公司將忠實(shí)地執(zhí)行這一使命，不受任何阻礙，盡管所有人都試圖以錯(cuò)誤的理由詆毀它。
根據(jù)這份聲明，5萬(wàn)是個(gè)被嚴(yán)重夸大的數(shù)字。NSO有理由相信，那份電話號(hào)碼清單同“飛馬”或是其他NSO產(chǎn)品的客戶目標(biāo)名單沒有任何關(guān)系，調(diào)查團(tuán)是基于一些其他泄露了的基本信息做出的誤導(dǎo)性解讀。
聲明還表示，任何想要購(gòu)買“飛馬”的政府必須獲得以色列國(guó)防部的批準(zhǔn)。以國(guó)防部的回應(yīng)稱，他們只會(huì)向政府實(shí)體出口用于合法使用的網(wǎng)絡(luò)產(chǎn)品，并僅用于調(diào)查犯罪和反恐。如果使用者違規(guī)使用，他們可以采取相應(yīng)措施。
值得注意的是，NSO特意指出，他們的產(chǎn)品無(wú)法用于監(jiān)控美國(guó)的手機(jī)號(hào)碼，而且沒有哪個(gè)客戶取得過能夠訪問美國(guó)號(hào)碼的技術(shù)。由于清單上的5萬(wàn)個(gè)電話號(hào)碼里面有12個(gè)美國(guó)號(hào)碼，而這在技術(shù)上沒有可能性，因此NSO認(rèn)為這再一次證明調(diào)查團(tuán)的消息是毫無(wú)根據(jù)的。
各國(guó)政府否認(rèn)使用“飛馬”
調(diào)查團(tuán)就“飛馬”監(jiān)聽一事問詢了涉及號(hào)碼較多的國(guó)家，但這些國(guó)家表示，所謂“飛馬”監(jiān)聽無(wú)非就是另一樁試圖污蔑他們“監(jiān)聽國(guó)民”的指控而已。
匈牙利總理歐爾班的辦公室表示，該國(guó)實(shí)施的任何監(jiān)控都是依法進(jìn)行的，被授權(quán)使用秘密工具的國(guó)家機(jī)構(gòu)經(jīng)常受到政府和非政府機(jī)構(gòu)的監(jiān)督。該辦公室還反問媒體：
“你問過美國(guó)、英國(guó)、德國(guó)或法國(guó)政府同樣的問題嗎?”
摩洛哥當(dāng)局則表示：“大赦國(guó)際以前曾發(fā)表過針對(duì)摩洛哥政府的毫無(wú)根據(jù)的指控，“禁聞”也轉(zhuǎn)發(fā)過那些指控，對(duì)此摩洛哥政府已經(jīng)堅(jiān)決否認(rèn)過了。”
盧旺達(dá)外交部長(zhǎng)也表示他們沒有使用過“飛馬”，因?yàn)楸R旺達(dá)并不具備任何形式的使用這種技術(shù)的能力。他表示，這些虛假指控的目的是在盧旺達(dá)和其他國(guó)家之間制造緊張，并在國(guó)內(nèi)和國(guó)際上散播有關(guān)盧旺達(dá)的虛假信息。
【來(lái)源：網(wǎng)易科技】
