NSO Group 的 iPhone 黑客攻击是如何工作的

多年来，以色列间谍软件厂商NSO集团已经引发了通过它的黑客工具的恐惧和迷恋整个国际社会的S-的这些都被出售给喜欢独裁政府在世界各地使用对新闻记者，活动家，政治家，和任何人埃尔SE不幸成为目标。这家经常卷入丑闻的公司似乎经常像通过数字咒语一样运营——商业漏洞攻击不需要网络钓鱼和恶意软件，无所不包，可以进入最私密的数字空间。

但上周 NSO 的一些黑暗秘密被非常公开地披露，当时研究人员设法从技术上解构了该公司臭名昭著的“零点击”攻击之一是如何运作的。事实上，谷歌零项目的研究人员发布了一份详细的分解图，展示了 NSO 漏洞利用，被称为“强制进入”，是如何迅速而无声地接管电话的。

该漏洞旨在针对 Apple iPhone，据信已导致多个国家/地区的设备遭到黑客攻击，其中包括在乌干达工作的几名美国国务院官员的设备。关于它的最初细节是由多伦多大学的一个研究单位Citizen Lab捕获的，该单位经常发表与 NSO 活动相关的研究。公民实验室的研究人员设法掌握了遭受该公司“零点击”攻击的手机，并于 9 月发表了有关其工作原理的初步研究。大约在同一时间，Apple 宣布将起诉 NSO，并发布安全更新以修补与漏洞利用相关的问题。

找源教育网

公民实验室最终与谷歌的研究人员分享了他们的发现，谷歌的研究人员在上周终于公布了他们对攻击的分析。正如您所料，这是非常不可思议且令人恐惧的东西。

“根据我们的研究和发现，我们认为这是我们见过的技术上最复杂的漏洞之一，进一步证明 NSO 提供的功能可以与以前认为只有少数几个国家才能使用的功能相媲美，”写道研究人员 Ian Beer 和 Samuel Groß。

强制：特洛伊木马 GIF 和计算机中的计算机

FORCEDENTRY 最可怕的事情可能是，根据谷歌的研究人员的说法，入侵一个人唯一需要的就是他们的电话号码或他们的 AppleID 用户名。

使用这些标识符之一，NSO 的利用者可以很容易地破坏他们想要的任何设备。攻击过程很简单：通过 iMessage 向受害者的手机发送看似 GIF 的短信。然而，有问题的图像实际上并不是 GIF；相反，它是一个带有 .gif 扩展名的恶意 PDF。该文件中包含一个高度复杂的恶意负载，可以劫持 Apple 图像处理软件中的漏洞，并使用它来快速接管目标设备中的宝贵资源。接收者甚至不需要点击图像来激活它的有害功能。

从技术上讲， FORCEDENTRY 所做的是利用 Apple 图像渲染库CoreGraphics中的一个零日漏洞， CoreGraphics是 iOS 用来处理设备图像和媒体的软件。该漏洞被正式追踪为CVE-2021-30860，与一段旧的免费开源代码相关，iOS 显然利用该代码对 PDF 文件进行编码和解码——JBIG2 的 Xpdf实现。

不过，这就是攻击变得非常疯狂的地方。通过利用图像处理漏洞，FORCEDENTRY 能够进入目标设备并使用手机自身的内存构建一个基本的虚拟机，基本上是“计算机中的计算机”。从那里，机器可以从内部“引导”NSO 的 Pegasus 恶意软件，最终将数据转发回部署该漏洞的任何人。

在与 Gizmodo 的电子邮件交流中，Beer 和 Groß 详细阐述了这一切是如何运作的。研究人员表示，这次攻击“提供了一个 JBIG2 压缩文件，该文件执行了数千个最初用于解压缩数据的基本数学运算”。“通过这些操作，它首先触发了 JBIG2 中的‘内存损坏’漏洞，然后以某种方式修改内存，然后允许在后续操作中访问不相关的内存内容。”

研究人员进一步解释说，从那里开始，该程序“基本上在这些基本数学运算的基础上构建了一台小型计算机，用于运行现在可以访问受攻击 iPhone 的其他内存的代码”。他们补充说，在微型计算机在目标手机中启动并运行后，NSO 使用它从实际设备内部“运行他们自己的代码（而不是 Apple 的）并使用它来引导恶意软件”。

长话短说，NSO 漏洞能够从内到外控制受害者的手机，并使用设备自己的资源来设置和运行其监视操作。

国家统计局的麻烦仍在继续

与此漏洞相关的漏洞已在Apple 的 iOS 14.8 更新（9 月发布）中得到修复，尽管一些计算机研究人员警告说，如果某人的手机在更新前被 Pegasus 攻破，补丁可能无法有效阻止入侵者出去。

国家统计局的恶意软件和它神秘的黑客攻击方法已经被恐惧和炒作了多年的主题，所以它是一种令人惊异的是有谷歌终于拉回帷幕正是如何这块计算黑魔法的实际工作。

然而，虽然这个可怕工具的内部运作终于被揭示出来，但该工具的制造商目前正在努力生存。事实上，国家统计局经历了艰难的一年——公司从一个灾难性的丑闻推到下一个。对其客户群明显渎职行为的持续新闻调查伴随着来自世界上一些最大公司的多起诉讼、政府调查、美国的严厉制裁以及逃离投资者和财政支持。