用 iPhone 的小伙伴，昨天早晨大多会收到一个系统升级信息。
苹果突然对旗下多个平台的操作系统进行了一次版本更新，覆盖 iOS、macOS 和 watchOS。
距离上一个大版本 iOS 14.7 不到两个月，本周的苹果发布会不到两天，此时放出系统更新不免让人感觉有些奇怪——iOS 14.8 没有新功能，该紧急更新包含两个安全补丁，只为修复一个漏洞。Citizen Lab 的安全研究人员表示，该漏洞很可能被人利用，将间谍软件安装到人们的手机中。
研究人员表示，该漏洞可以在「零点击」即用户毫不知情的情况下安装间谍软件 Pegasus，此种软件可以用于窃取数据、密码、直接激活手机上的麦克风和相机。
「这个间谍软件可以做机主对 iPhone 做的任何事，甚至还能做更多。」Citizen Lab 高级研究员 Bill Marczak 说道。当前，全球有超过 16.5 亿台苹果设备存在这样的风险。
今年 7 月，包括《华盛顿邮报》、《世界报》和《卫报》等大量新闻媒体集中报道了 Pegasus 计划，据称这是一款由私人承包商开发的间谍软件，其感染的手机将发回数据，包括照片、消息和音频 / 视频记录。Pegasus 的开发商、一家名为 NSO Group 的以色列公司表示，该软件无法追溯到使用它的政府——这是秘密行动的关键。
国际特赦组织曾对 67 部智能手机进行了详细的取证，以寻找证明它们成为 Pegasus 间谍软件目标的证据——其中 37 部手机检测呈阳性，其中 23 部手机已确认被入侵。但有关该软件的许多关键细节我们仍不清楚。
卫报称，Pegasus 项目核心泄露的数据库包括法国总统马克龙和其他 13 位国家元首和政府高官的手机号码。
数据库中出现的信息涉及巴基斯坦总理、乌干达前总理、法国总统和南非总统。
Pegasus 经常被媒体与沙特记者贾麦勒 · 卡舒吉联系在一起，据称沙特使用此间谍软件锁定了他的位置。纽约时报称，NSO 收取 50 万美元为客户设置 Pegasus 系统，然后收取额外费用以实际破解人们的手机。据报道，入侵 10 台 iPhone 或安卓手机的成本为 65 万美元，而破解 5 个黑莓用户的成本为 50 万美元。然后，客户可以支付更多费用来瞄准更多用户，价格也会有折扣：额外 100 部电话 80 万美元，额外 50 部电话 50 万美元。
根据 Forbidden Stories 的说法，仅 NSO 与沙特阿拉伯的合同价值就高达 5500 万美元。
鉴于漏洞的严重性，苹果用户应该尽快更新到 iOS 14.8、macOS Big Sur 11.6 和 watchOS 7.6.2。
Pegasus 能够攻破最新版本的苹果和安卓系统，而且攻击方式也从引导用户点击链接，逐渐发展到了直接发送链接让手机在不知情的情况下被感染。
苹果的开发团队表示他们在 8 月份听说了新漏洞，当时 Citizen Lab 报告称 Pegasus 成功攻击了 iOS 14.6(5 月发布)的 iPhone。Citizen Lab 还表示，这个代号为「ForcedEntry」的安全漏洞似乎与 7 月国际特赦组织(Amnesty International)审查的一些系统攻击行为类似。当时，安全研究人员写道，这是由苹果 CoreGraphics 系统中的一个错误导致的，并且发生在手机收到包含风险文件的短信后，尝试使用与 GIF 相关的功能时。
运行 iOS 14.6 的 iPhone 12 Pro Max 上的「ForcedEntry」漏洞。图源：https://citizenlab.ca/2021/08/bahrain-hacks-activists-with-nso-group-zero-click-iphone-exploits/
实际上，早在今年 3 月，Citizen Lab 就检查了一位不愿透露姓名的沙特活动人士的手机，确认了其已被 NSO Group 的 Pegasus 间谍软件入侵。在分析过程中，Citizen Lab 获取了该设备的 iTunes 备份。
最近 Citizen Lab 对重新分析了备份文件 Library/SMS/Attachments，发现其中产生了几个带有「.gif」扩展名的文件，Citizen Lab 已确定这些文件是在被 NSO Group 的 Pegasus 间谍软件入侵之前刚刚发送到该手机上的。
在该手机上发现的 GIF 文件。
Citizen Lab 的研究人员进一步分析发现：
- 同一个扩展名为「.gif」的文件具有 27 个副本，并且虽然扩展名是「.gif」，但该文件实际上是一个 748 字节的 Adobe PSD 文件。该文件的每个副本都会导致设备上的 IMTranscoderAgent 崩溃。其中大多数文件的文件名看起来是随机生成的十个字符。
- 另外，其中 4 个带有「.gif」扩展名的文件实际上是包含 JBIG2 - 编码流的 Adobe PDF 文件，2 个文件有 34 个字符的名称，2 个文件有 97 个字符的名称。
pdfid 工具在这 4 个「.gif」文件上的输出是：
- PDF Comment '%PDF-1.3\n\n'
- obj 1 0
- Type: /XRef
- Referencing:
- Contains stream
- << /Type /XRef /Size 9 /W [1 3 1] /Length ... /Filter [/FlateDecode /FlateDecode /JBIG2Decode] /DecodeParms >>
- trailer
- << /Size 2 >>
- startxref 10
- PDF Comment '%%EOF\n'
Citizen Lab 在完成这些分析之后，于 9 月 7 日将该问题提交给 Apple，苹果于 9 月 13 日迅速发布了 iOS 14.8。苹果的更新说明问题发生在处理恶意制作的 PDF 时，同时苹果在声明中感谢 Citizen Lab 完成了获取该漏洞样本的重要工作。
本次更新还修复了适用于 iOS 和 macOS Big Sur 的 WebKit 的一个安全问题。它不是 Citizen Lab 发现的，而是由匿名研究人员发现的，并且与「ForcedEntry」漏洞位于系统的不同部分，但苹果表示该漏洞同样值得注意。
尽管时而有人吐槽「反向升级」，但保持设备系统的最新状态显然是一件利大于弊的事。对于苹果用户来说，在 9 月 14 日发布会前一天让 iOS 14 版本获得安全补丁的操作，让修复内容覆盖了更多设备。目前看来，所有人都需要尽快更新设备。
参考内容：
- https://www.theverge.com/2021/9/13/22672352/apple-spyware-gateway-iphone-software-update-nso-pegasus
- https://www.nytimes.com/2021/09/13/technology/apple-software-update-spyware-nso-group.html
- https://citizenlab.ca/2021/09/forcedentry-nso-group-imessage-zero-click-exploit-captured-in-the-wild/
【本文是51CTO专栏机构“机器之心”的原创译文，微信公众号“机器之心( id: almosthuman2014)”】
