Google發現駭客與ISP聯手於iPhone上植入間諜程式

Google本周揭露了由義大利商業駭客公司RCS Labs所支援的駭客行動，鎖定義大利與哈薩克的Android裝置及iPhone用戶展開攻擊，藉由側載手法入侵使用者裝置，在針對iPhone的攻擊中，ISP甚至與駭客聯手，促使受害者下載了由駭客所提供的偽造電信程式。

Google的威脅分析小組（Threat Analysis Group，TAG）長期追蹤全球逾30家的商業駭客公司，這些業者主要出售攻擊程式或監控能力予國家支持的駭客集團；在TAG於去年所發現的9個零時差攻擊程式中，就有7個是由這些商業駭客公司所開發。

RCS Labs攻擊iPhone用戶的其中一個手法是透過簡訊傳送惡意連結予使用者，且TAG相信ISP參與了某些攻擊，關閉特定受害者的行動資料服務，以讓駭客得以透過簡訊傳送惡意連結，並要求使用者下載一個偽造的電信程式來恢復其行動資料服務。

但iPhone用戶所下載的卻是一個含有6款攻擊程式的套件，其中有4個程式開採的是已知漏洞，另有兩個開採零時差漏洞CVE-2021-30883與CVE-2021-30983，且所有的攻擊程式都是由不同的越獄社群所撰寫。

此一富含零時差攻擊程式的套件主要功能為擴充權限，成功安裝後將允許駭客存取核心記憶體、安裝程式或建立檔案等。

此外，一般而言iOS裝置並不允許使用者自App Store以外的地方下載與安裝程式，因此，RCS Labs利用了蘋果專為大型企業所設計的Apple Developer Enterprise Program，讓組織得以開發及部署供內部使用的行動程式，只要以該計畫的憑證簽署程式，便不會受到下載限制。

RCS Labs針對Android裝置的攻擊亦是透過側載以誘導使用者下載惡意程式，其中一個例子是偽裝成三星程式，再伺機安裝由RCS Labs打造的間諜程式Hermit。

除了Google之外，另一資安業者Lookout也在上周公布了RCS Labs於Android裝置上散布Hermit的行動。

根據Lookout的判斷，針對義大利或哈薩克使用者的攻擊行動都是由當地政府主導，或許這便是ISP願意配合的最大原因。

Google指出，在某些國家使用監控技術是合法的，但有些國家卻是出於違反民主價值的目的，針對反對者、記者或人權組織發動攻擊，此外，這些商業駭客公司所持有的零時差安全漏洞資訊也對全球網路安全帶來高風險，特別是若這些公司遭到入侵，而使得零時差攻擊程式外洩時。