在8月10日的早晨，來自阿聯酋的46歲人權活動家Ahmed Mansoor在自己的iPhone上，看到了一條來自陌生電話號碼的奇怪短信。

這條短信的內容很唬人，寫著“阿聯酋國家監獄裡的虐囚新消息”，還配上了一條鏈接。

在之前的斗爭中，阿聯酋政府就使用FinFisher和Hacking Team等公司的商業間諜軟件對Ahmed Mansoor實施過黑客行動。因此，Ahmed Mansoor對這條短信產生了懷疑，沒有點擊鏈接，而是把短信轉發給了在多倫多大學蒙克全球事務學院公民實驗室(Citizen Lab)工作的Bill Marczak。

結果顯示，這條短信的確有問題，其附帶的鏈接指向的是一個成熟的惡意軟件。這個惡意軟件利用了蘋果iOS操作系統三個不為人知的漏洞，從而可以讓黑客完全控制Ahmed Mansoor的iPhone。這就是公民實驗室和移動安全公司Lookout於本周四發布的聯合報告的結論。

這是首次有人公開披露這類攻擊。在這之前，還從未有人見過同時利用三個未知漏洞（又稱零日漏洞）來試圖控制iPhone。用於此次攻擊的工具和技術差不多算得上是給iPhone進行遠程越獄，價值更是高達百萬美元。在這些研究人員們警告蘋果後，蘋果很快在周四發布了更新來修復這些漏洞。

問題是：誰策劃了這次攻擊，他們用了哪些技術來實現？

研究人員們發現，提供此次攻擊用到的間諜軟件和零日漏洞的是一家不知名的以色列監控公司NSO Group。在Lookout負責研究的副總裁Mike Murray看來，NSO Group“基本上就是網絡攻擊軍火商”。

公民實驗室和Lookout的研究人員們對這一前所未見的惡意軟件感到震驚。

Mike Murray表示：“之前從未有人發現過這種惡意軟件，基本上只需在iPhone上點擊一下鏈接就能越獄。它是我們從業以來見過的最成熟的網絡間諜軟件。”

自2010年創辦以來，NSO就逐漸樹立了為政府提供監控手機的成熟惡意軟件的名聲。但在此之前，對NSO工具的使用從未出現在任何政府文件上。NSO宣稱，其產品極其隱蔽，就像“幽靈”一樣。NSO本身也像“幽靈”一樣，沒有官網，也幾乎不接受采訪或對報道置評。但還是有一些NSO的信息洩露了出來，包括其在2014年獲得了一家美國風險投資公司1.2億美元的投資，以及估值達到了10億美元。

NSO的惡意軟件Pegasus旨在悄無聲息地感染iPhone，並能竊取、竊聽被感染iPhone中的所有數據和通訊。

Mike Murray解釋道：“Pegasus會竊取iPhone中的所有信息，竊聽所有通話，竊取所有短信、電子郵件、聯系人。它還會給iPhone上的所有通訊機制添加後門。它能竊取 Gmail、Facebook、Skype、Whatsapp、Viber、微信、Telegram等應用中的所有信息。”

在Mike Murray和Lookout員工的幫助下，公民實驗室的Bill Marczak和John Scott-Railton先在一台測試iPhone上點擊了鏈接，讓它感染Pegasus，以研究Pegasus的具體用途。

此次針對Ahmed Mansoor的攻擊，以及公民實驗室追蹤到的另一次攻擊顯示，著名的Hacking Team和FinFisher並不是個例，還有其他公司加入到了向政府提供黑客服務這一日益壯大的市場中來。

NSO是如何被抓住現形的

在今年5月，公民實驗室發現了一個代號Stealth Falcon的成熟黑客團體。雖然無法證實，但他們懷疑Stealth Falcon和阿聯酋政府有關聯，主要針對阿聯酋國內外的異見人士。

通過對Stealth Falcon的研究，公民實驗室理出了這一團體的大部分基礎設施，包括用來竊取數據的服務器和域名。但公民實驗室無法找到這些黑客所使用的惡意軟件樣本。從8月10日Ahmed Mansoor給Bill Marczak轉發短信的那一刻起，這一切都改變了。

在Bill Marczak和John Scott-Railton研究了Pegasus後，他們追蹤到了與Pegasus通訊的服務器及IP地址，並匹配到Stealth Falcon的基礎設施中也包含這一服務器和IP地址。隨後，他們發現一位NSO員工注冊的域名也指向同一IP地址。

更重要的是，Pegasus的開發者在Pegasus中留下了一個暴露了很多信息的字符串“PegasusProtocol”(Pegasus協議)，這明顯指出了這一NSO間諜軟件的代號。研究人員們還發現了更多和NSO及其客戶基礎設施有關聯的域名，其中一些顯然是被設計用來作為釣魚網站，對象是紅十字會等人權組織和新聞媒體組織的工作人員。

Pegasus的發現讓研究人員們第一次能夠真正了解NSO出品的惡意軟件的功能。自2010年創辦以來，NSO已然成為業內傳奇，而公眾對其基本一無所知。NSO的高管們極少接受媒體采訪，有關NSO的報道中也充斥著模糊的描述和未經證實的謠言。

NSO聯合創始人Omri Lavie在2013年對《防務新聞》表示：“我們完全就是幽靈。”

《華爾街日報》在2014年的一篇簡短報道中稱，墨西哥政府已經采購了NSO的產品，甚至連美國中央情報局都表達了購買意向。報道還稱，NSO的間諜軟件行銷全球。

現在NSO的間諜軟件遭到了曝光，使用的零日漏洞也得到了修補，它應該再也不能宣稱自己是“幽靈”了吧，雖然NSO可能還有其他零日漏洞和工具在手上。這也是研究人員們不指望自己的報告和蘋果的補丁能阻止NSO很長時間的原因。

Mike Murray表示道：“單是給這些漏洞打補丁不可能讓NSO破產。”

更嚴重的是，Pegasus的設定可以一路往下感染到iOS 7，也就是說NSO很可能在iPhone5時就能入侵iPhone了。

NSO的發言人Zamir Dahbash在一份聲明中表示：“NSO的使命是為獲得授權的政府提供幫助他們打擊恐怖活動和犯罪的技術，以便讓世界變得更美好。”

“NSO只對獲得授權的政府機構銷售，完全符合嚴格的出口管制法律和法規。另外，NSO並不負責運營售出的系統。我們是一家嚴格意義上的技術公司。購買我們產品的客戶必須保證合法地使用我們的工具。我們還在合同中專門列出，我們的產品只能用於預防和調查犯罪。”

蘋果的反應

公民實驗室和Lookout的研究人員們在發現這些零日漏洞（代號Trident）後，立刻聯系了蘋果公司。蘋果公司用了10天時間來開發和發布補丁。現在這一補丁已經加入到iOS 9.3.5的更新包中，所有iPhone用戶都應該盡快下載和安裝這一更新。

蘋果發言人在一份聲明中表示：“我們在知道這些漏洞後立刻進行了修復，並在iOS 9.3.5更新中加入了這些補丁。”但這位發言人拒絕透露更多細節。

網絡安全公司Trail Of Bits首席執行官Dan Guido擁有豐富的iOS安全經驗，他表示這些極少出現在公眾視野中的攻擊並不出人意料。不過他表示，盡管現在又發現了三個零日漏洞，但iPhone還是要比安卓手機安全得多。

Guido說道：“和其他廠商相比，蘋果極大地提高了入侵蘋果設備的成本。但這一事件也顯示了需要有更好地針對iOS的入侵檢測手段。iOS仍然是市面上最安全的消費設備。問題是，只有當你擁有懷疑精神以及在公民實驗室有朋友，才有可能知道自己的iPhone中是否安裝了惡意軟件。”

其他受害者

研究人員們還沒能找到其他Pegasus間諜軟件的樣本。但通過搜索類似鏈接和與此次攻擊以及Stealth Falcon有關的域名，他們發現了一條疑似針對肯尼亞不知名受害者的推文，還有一次針對墨西哥調查記者Rafael Cabrera的攻擊。

Rafael Cabrera去年第一次受到了NSO惡意軟件的針對性攻擊，在今年5月又受到了第二次攻擊。在第二次攻擊中，黑客們試圖引誘他點擊一系列消息中的鏈接，如提供政府腐敗線索、話費消費500美元的警告短信乃至號稱是他妻子出軌的視頻鏈接。Rafael Cabrera表示，他沒有點擊上述任何鏈接。

他表示道：“很明顯，他們想要我點擊鏈接，有點喪心病狂的感覺。”

Rafael Cabrera並不想猜測誰是幕後黑手，政府或其他人都有可能。墨西哥政府可能是NSO的客戶，但不清楚是否真的有警察或情報部門使用NSO的惡意軟件。墨西哥也是Hacking Team的最大客戶，一些墨西哥政府部門被指控使用這些間諜軟件來針對記者和異見人士，而非犯罪分子。

最終，Rafael Cabrera和Ahmed Mansoor的iPhone都沒有被黑，因為他們識破了黑客們的伎倆。當然，也可以說他們幸運。因為此前有過被政府黑客入侵的經歷，他們比一般人要更警覺。

但公民實驗室的Bill Marczak表示，他倆的遭遇可能預示著未來的風險。如果政府想要黑客工具而且願意支付高價錢，那麼Hacking Team和NSO這些公司仍然會繼續提供它們。公民實驗室在過去還記錄了數起政府利用間諜軟件對異見人士、記者和人權工作者發起的黑客攻擊，工具和NSO制造的類似。盡管公民實驗室公開了這些攻擊並發出警告，但還是不斷有類似的新攻擊出現。有時候攻擊是由同一政府發起的，甚至針對的是同一目標。

他表示道：“根本沒有什麼激勵，能讓NSO這些公司不向阿聯酋這種慣犯出售黑客工具。”

這也預示著間諜軟件行業一個新巨頭的崛起，在FinFisher和Hacking Team遭到嚴重黑客攻擊後，NSO有著很大的增長空間。

而如果Ahmed Mansoor在8月10日點擊了那個鏈接，這些事情可能永遠也不會被人發現。

《蘋果推送iOS9.3.5正式版更新：或為iOS9最後一站》

《蘋果緊急發布iOS9.3.5真相：iPhone被間諜軟件監控》