|
|
|
|
公众号矩阵
创建专栏

速速更新你的iPhone,新漏洞大得可怕,全球16.5亿台设备受影响

距离上一个大版本 iOS 14.7 不到两个月,本周的苹果发布会不到两天,此时放出系统更新不免让人感觉有些奇怪——iOS 14.8 没有新功能,该紧急更新包含两个安全补丁,只为修复一个漏洞。

作者:机器之心|2021-09-15 05:24

用 iPhone 的小伙伴,昨天早晨大多会收到一个系统升级信息。

苹果突然对旗下多个平台的操作系统进行了一次版本更新,覆盖 iOS、macOS 和 watchOS。

距离上一个大版本 iOS 14.7 不到两个月,本周的苹果发布会不到两天,此时放出系统更新不免让人感觉有些奇怪——iOS 14.8 没有新功能,该紧急更新包含两个安全补丁,只为修复一个漏洞。Citizen Lab 的安全研究人员表示,该漏洞很可能被人利用,将间谍软件安装到人们的手机中。

研究人员表示,该漏洞可以在「零点击」即用户毫不知情的情况下安装间谍软件 Pegasus,此种软件可以用于窃取数据、密码、直接激活手机上的麦克风和相机。

「这个间谍软件可以做机主对 iPhone 做的任何事,甚至还能做更多。」Citizen Lab 高级研究员 Bill Marczak 说道。当前,全球有超过 16.5 亿台苹果设备存在这样的风险。

今年 7 月,包括《华盛顿邮报》、《世界报》和《卫报》等大量新闻媒体集中报道了 Pegasus 计划,据称这是一款由私人承包商开发的间谍软件,其感染的手机将发回数据,包括照片、消息和音频 / 视频记录。Pegasus 的开发商、一家名为 NSO Group 的以色列公司表示,该软件无法追溯到使用它的政府——这是秘密行动的关键。

国际特赦组织曾对 67 部智能手机进行了详细的取证,以寻找证明它们成为 Pegasus 间谍软件目标的证据——其中 37 部手机检测呈阳性,其中 23 部手机已确认被入侵。但有关该软件的许多关键细节我们仍不清楚。

卫报称,Pegasus 项目核心泄露的数据库包括法国总统马克龙和其他 13 位国家元首和政府高官的手机号码。

数据库中出现的信息涉及巴基斯坦总理、乌干达前总理、法国总统和南非总统。

Pegasus 经常被媒体与沙特记者贾麦勒 · 卡舒吉联系在一起,据称沙特使用此间谍软件锁定了他的位置。纽约时报称,NSO 收取 50 万美元为客户设置 Pegasus 系统,然后收取额外费用以实际破解人们的手机。据报道,入侵 10 台 iPhone 或安卓手机的成本为 65 万美元,而破解 5 个黑莓用户的成本为 50 万美元。然后,客户可以支付更多费用来瞄准更多用户,价格也会有折扣:额外 100 部电话 80 万美元,额外 50 部电话 50 万美元。

根据 Forbidden Stories 的说法,仅 NSO 与沙特阿拉伯的合同价值就高达 5500 万美元。

鉴于漏洞的严重性,苹果用户应该尽快更新到 iOS 14.8、macOS Big Sur 11.6 和 watchOS 7.6.2。

Pegasus 能够攻破最新版本的苹果和安卓系统,而且攻击方式也从引导用户点击链接,逐渐发展到了直接发送链接让手机在不知情的情况下被感染。

苹果的开发团队表示他们在 8 月份听说了新漏洞,当时 Citizen Lab 报告称 Pegasus 成功攻击了 iOS 14.6(5 月发布)的 iPhone。Citizen Lab 还表示,这个代号为「ForcedEntry」的安全漏洞似乎与 7 月国际特赦组织(Amnesty International)审查的一些系统攻击行为类似。当时,安全研究人员写道,这是由苹果 CoreGraphics 系统中的一个错误导致的,并且发生在手机收到包含风险文件的短信后,尝试使用与 GIF 相关的功能时。

运行 iOS 14.6 的 iPhone 12 Pro Max 上的「ForcedEntry」漏洞。图源:https://citizenlab.ca/2021/08/bahrain-hacks-activists-with-nso-group-zero-click-iphone-exploits/

实际上,早在今年 3 月,Citizen Lab 就检查了一位不愿透露姓名的沙特活动人士的手机,确认了其已被 NSO Group 的 Pegasus 间谍软件入侵。在分析过程中,Citizen Lab 获取了该设备的 iTunes 备份。

最近 Citizen Lab 对重新分析了备份文件 Library/SMS/Attachments,发现其中产生了几个带有「.gif」扩展名的文件,Citizen Lab 已确定这些文件是在被 NSO Group 的 Pegasus 间谍软件入侵之前刚刚发送到该手机上的。

在该手机上发现的 GIF 文件。

Citizen Lab 的研究人员进一步分析发现:

  • 同一个扩展名为「.gif」的文件具有 27 个副本,并且虽然扩展名是「.gif」,但该文件实际上是一个 748 字节的 Adobe PSD 文件。该文件的每个副本都会导致设备上的 IMTranscoderAgent 崩溃。其中大多数文件的文件名看起来是随机生成的十个字符。
  • 另外,其中 4 个带有「.gif」扩展名的文件实际上是包含 JBIG2 - 编码流的 Adobe PDF 文件,2 个文件有 34 个字符的名称,2 个文件有 97 个字符的名称。

pdfid 工具在这 4 个「.gif」文件上的输出是:

  1. PDF Comment '%PDF-1.3\n\n' 
  2.  
  3. obj 1 0 
  4.  
  5. Type: /XRef 
  6.  
  7. Referencing: 
  8.  
  9. Contains stream 
  10.  
  11. << /Type /XRef /Size 9 /W [1 3 1] /Length ... /Filter [/FlateDecode /FlateDecode /JBIG2Decode] /DecodeParms >> 
  12.  
  13. trailer 
  14.  
  15. << /Size 2 >> 
  16.  
  17. startxref 10 
  18.  
  19. PDF Comment '%%EOF\n' 

Citizen Lab 在完成这些分析之后,于 9 月 7 日将该问题提交给 Apple,苹果于 9 月 13 日迅速发布了 iOS 14.8。苹果的更新说明问题发生在处理恶意制作的 PDF 时,同时苹果在声明中感谢 Citizen Lab 完成了获取该漏洞样本的重要工作。

本次更新还修复了适用于 iOS 和 macOS Big Sur 的 WebKit 的一个安全问题。它不是 Citizen Lab 发现的,而是由匿名研究人员发现的,并且与「ForcedEntry」漏洞位于系统的不同部分,但苹果表示该漏洞同样值得注意。

尽管时而有人吐槽「反向升级」,但保持设备系统的最新状态显然是一件利大于弊的事。对于苹果用户来说,在 9 月 14 日发布会前一天让 iOS 14 版本获得安全补丁的操作,让修复内容覆盖了更多设备。目前看来,所有人都需要尽快更新设备。

参考内容:

  • https://www.theverge.com/2021/9/13/22672352/apple-spyware-gateway-iphone-software-update-nso-pegasus
  • https://www.nytimes.com/2021/09/13/technology/apple-software-update-spyware-nso-group.html
  • https://citizenlab.ca/2021/09/forcedentry-nso-group-imessage-zero-click-exploit-captured-in-the-wild/

【本文是51CTO专栏机构“机器之心”的原创译文,微信公众号“机器之心( id: almosthuman2014)”】

戳这里,看该作者更多好文

【责任编辑:赵宁宁 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢