近日，全球多家媒体曝光以色列网络安全公司NSO旗下的一款间谍软件——“飞马座”(Pegasus)。据称此软件监视了全球5万多人，被监听对象包括国家元首、王室成员、部长、企业高管、记者等，至少涉及50多个国家和地区。《印度斯坦时报》报道称，中国、伊朗外交官在“飞马座”潜在监控人员名单上。但是NSO公司却在回应中指出，他们的产品无法用于监控美国的手机号码。此外《纽约时报》记者肯尼斯·沃格尔发现，NSO这家以色列公司与美国民主党似乎存在着“千丝万缕的联系”。1、NSO公司背景介绍
NSO公司总部位于以色列Herzelia，创始人是Omri Lavie和Shalev Hulio，这两人和以色列政府存在关联。Lavia公开的个人资料显示，2005年7月至2007年10月期间，他曾是以色列政府“雇员”(employee)。而Hulio则声称，他曾于1999年8月至2004年11月在以色列国防军担任连级指挥官。图1：两位创始人: Omri Lavie和Shalev Hulio
除此之外，NSO还宣称，公司某些员工先前在Unit 8200工作。Unit 8200，也称“以色列信号情报国家部队”(Israeli SIGINT National Unit)，其职能类似于美国国家安全局，是以色列国防军中规模最大的独立军事单位，也是以色列网络防御与作战的最大主力，被普遍认为是世界上最先进的网络间谍部队。 1967年，Unit 8200获得了当年最成功的情报——在“六日战争”的第一天，就成功截获埃及总统纳赛尔和约旦国王侯赛因的高保密专线电话，从而可以详尽地了解己方战果以及敌方下一步计划。1985年，Unit 8200提供了一份电话监听记录，证实了阿拉法特与1973年发生在苏丹的美外交官被劫、被杀事件有关。2007年，以色列通过隐形战机摧毁叙利亚核工厂，而其成功关键，则是以色列Unit 8200先行通过网络攻击摧毁了叙利亚防空雷达系统，成功地让战机如入无人之境般直抵叙利亚腹地。时至今日，“果园行动”依然是网络战与常规战结合的典范。2010年，伊朗核设施遭遇震网病毒攻击，造成一千多台离心机被摧毁，致使伊朗核计划流产。而震网这一超级病毒就是以色列与美国联合开发的，Unit 8200在其中起到了重要的作用。美国《福布斯》报道称，以色列的高科技领域的精英大多来自神秘的Unit 8200。这些人要么是企业家，要么是公司的创立人或者是中高级主管。以色列的三大高科技公司Nice、Comverse和Check Point的很多技术都来自这个神秘的Unit 8200。2、NSO公司与美国之间的关系
《纽约时报》记者肯尼斯·沃格尔发现，NSO与美国民主党似乎存在着“千丝万缕的联系”。NSO集团曾向拜登的高级顾问安妮塔·邓恩名下的SKDK公司、前美国中央情报局(CIA)人员以及前奥巴马政府国防部长办公室主任杰瑞米·巴什创办的Beacon Global Strategies公司都支付了“咨询费”。杰瑞米·巴什表示，SKDK和Beacon Global Strategies公司都曾为NSO集团提供“沟通和商业战略建议”。2019年，WhatsApp母公司脸书正式在美国起诉NSO集团，称其利用“飞马座”软件协助多个国家入侵用户手机。微软、谷歌等美国几大科技巨头认为NSO集团应被美国反黑客法追究责任。微软总裁布拉德·史密斯曾呼吁即将执政的拜登政府介入这起备受瞩目的法律案件，他还将NSO集团比作“21世纪的雇佣兵”。但由于不为人知的原因，拜登政府上台后，关于此案的调查仍处于未知状态。此外，2014年，美国私募资本公司Francisco Partners Management LLC以1.2亿美元收购了NSO Group的多数股权。但在2019年，NSO Group的联合创始人称他们得到了欧洲私募股权公司Novalpina Capital的支持，筹得5亿美元贷款，从大股东Francisco Partners Management LLC处回购了公司。结合2019年WhatsApp母公司脸书正式在美国起诉NSO集团事件，可以看出美国似乎急于撇清与此公司的联系。“飞马座”间谍软件在不需要用户点击的情况下入侵手机并自动激活，提取手机上的数据，还能悄悄打开摄像头和麦克风，监控机主的一切活动。监听时间则长短不一，短时甚至只有几秒。这是一款能实现无感知、难溯源、长期持续、精准定向的网络入侵、监听、攻击活动的间谍软件。记录键盘输入捕获屏幕截图捕获实时音频通过短信远程控制窃取常用应用程序信息窃取浏览器历史记录窃取来手机电子邮件窃取联系人和短信自毁功能
图2：“飞马座”功能
2、“飞马座”间谍软件如何工作
“飞马座”可以通过许多方式进行自我安装，比如通过“空中隐形技术”安装、通过定制的文本短信和电子邮件安装、通过受 NSO公司秘密安装软件操控的公共 Wi-Fi 热点安装，或采取传统办法，由间谍亲自安装。通常情况下，软件会使用假目标诱饵使得用户神不知鬼不觉地点击包含恶意链接的文本，手机用户会收到一条包含恶意链接的短信，点开这些链接就意味着入侵成功，随后就会发送一系列0day漏洞，在手机上秘密安装“飞马座”(Pegasus)。之后，攻击者可以通过命令和C2服务器远程操控受害者手机。据分析人员介绍，“飞马座”软件现在已经升级——不用钓鱼网址，照样能对目标实施各项有针对性的间谍活动，其跟踪、监听和间谍渗透的“全面能力”，令人毛骨悚然。图3：“飞马座”入侵方式和主要功能
3、“飞马座”间谍软件可监听的手机类型
软件支持苹果、安卓、黑莓、塞班等智能手机系统，攻破的服务平台包括苹果、谷歌、Amazon 和微软。软件可以复制谷歌云端硬盘、FB Messenger 和 iCloud 的授权密匙，允许另外的服务器模拟成官方服务器来欺骗手机。如果用户没有开启两步验证，攻击者可以直接获得云端数据。
4、曾利用的漏洞
2016年，“飞马座”因被报道攻破了当时号称最安全的苹果iOS系统而被众人知晓。软件使用了三种不同的iOS 0day漏洞（三叉戟漏洞）来攻击iOS设备。三叉戟漏洞包含以下三种漏洞的组合：
攻击者只要引诱用户点击文本信息中的一个链接，便可悄无声息地对iPhone植入“飞马座”恶意软件，从而监听目标iPhone上的所有通信和定位数据。图4：部分受害者接收到的钓鱼短信
2019年，脸书公司发现旗下社交软件WhatsApp存在安全漏洞，并被“飞马座”用于入侵用户手机。攻击者只需要通过 iOS 和 Android 版 WhatsApp 呼叫其他用户即可植入恶意软件，即使目标未接听电话，攻击仍可能有效。更糟糕的是，呼叫记录还会被从日志中被清除。目标甚至不知道其设备上已安装了恶意软件。5、软件售价
NSO公司依据目标的数量设定监控软件的价格，此外还要收取500,000 美元的固定安装费用。一份商业计划书显示，NSO公司对政府机关的报价如下：监视10 位 iPhone 用户，650,000 美元；监视10 位安卓用户，650,000 美元；监视 5 位黑莓用户，500,000美元；监视5 位塞班用户，300,000 美元（均不含安装费用）。监视的目标每多增加 100 名需要花费 800,000 美元，多增加 50 名需要花费 500,000 美元，多增加 20 名需要花费 250,000 美元，多增加 10 名需要花费 150,000 美元。此外，公司以后还要每年按总价的 17% 收取系统维护费用。6、影响范围
根据《卫报》、《华盛顿邮报》等17家国际知名媒体最新披露消息，在被“飞马座”软件潜在监控的名单上，有大约5万个电话号码，这些号码涉及一些国家的政要、媒体人士和社会活动家，其中约1.5万个号码来自墨西哥，其他号码的客户还包括阿塞拜疆、巴林、匈牙利、印度、哈萨克斯坦、摩洛哥、卢旺达、多哥、沙特和阿联酋等。名单上的一些电话号码没有标出姓名，但记者能够识别名单上50个国家和地区的1000多人，其中包括数名阿拉伯王室成员、至少65名企业高管、85名著名人权活动人士，还有《金融时报》等189名媒体记者、600多名政治家和政府官员，甚至几名国家元首和总理。墨西哥总统和家人、法国总统马克龙及多位法国政府成员均被列入间谍软件"飞马座"的监听名单。图5：“飞马座”知名攻击事件盘点
(1) “飞马座”被曝出攻破了当时号称最安全的苹果iOS系统而“一战成名”被众人知晓。(2) GIEI在调查2014年墨西哥格雷罗州Ayotzinapa 农村师范学院的 43 名年轻人被绑架的案件的过程中，属于该组织的一部手机于 2016 年 3 月成为飞马座的监控目标。泄露数据显示，至少还有一部其他 GIEI 手机被选为监视的候选者，至少有三名受害者的亲属的手机也被选为监视对象。(3) 该软件被发现用于攻击知名人权活动家艾哈迈德·曼苏尔。(4) 攻击墨西哥科学家西蒙·巴克拉、健康倡导组织主任亚历杭德罗·卡尔维略、预防肥胖联盟的主任路易斯·恩卡纳西翁。(1) 摩洛哥拉巴特穆罕默德五世大学的历史教授马蒂·蒙吉布被黑客入侵。此后，马蒂·蒙吉布又遭受了至少四次黑客攻击，每次攻击都比以前更先进。(1) 2018年，“国际特赦组织”称其一名员工遭到了NSO软件的恶意攻击，称一名黑客试图用WhatsApp上一条信息作为诱饵，侵入该员工的智能手机。(2) 2018年12月，沙特政治家阿卜杜勒阿齐兹的律师将以色列国防部合同商、监控科技公司NSO集团告上法庭。在法庭文件中，阿卜杜勒阿齐兹声称，NSO的“飞马座”软件产品入侵了他的手机，监控他和卡舒吉的通讯，违反国际法。(1) 2019 年 4 月指控印度前首席大法官 Ranjan Gogoi 性骚扰的受害者，前最高法院工作人员，三个电话号码被一家身份不明的印度机构选为潜在监视目标。泄露的记录显示，在她提出指控的同一周，属于她丈夫和他的两个兄弟的八个电话号码也被标记为可能的监视对象。受害者和她的家人总共11 号手机号码被监听，使他们成为飞马项目印度站中最大的关联手机号码群。 (2) 2019年，即时通讯软件WhatsApp发现“飞马座”通过其软件通话功能漏洞获取了约1400部用户手机的信息，这些用户遍布四大洲，包括外交官、记者和政府高级官员。WhatsApp母公司脸书正式在美国起诉NSO集团，称其利用“飞马座”软件协助多个国家入侵用户手机。WhatsApp对其进行起诉。(3) 针对多哥(Togo)民间社团，包括一名天主教主教、牧师和反对派政治家进行攻击。(1) 2020年7月和8月，“飞马座”间谍软件入侵半岛电视台记者、制片人、主播和高管等人的共36部个人手机。总部位于伦敦的Al Araby电视台的一名记者的私人电话也被黑客入侵。 除了以上攻击事件之外，“飞马座”间谍软件还被APT攻击组织使用。2019年，有公司在追踪在黄金雕（APT-C-34）相关攻击事件时，曾在攻击者的基础设施中发现“飞马座“的培训文档，其中还包括与NSO相关的合同信息，采购时间疑似在2018年。依靠“飞马座”网络武器，黄金雕（APT-C-34）组织具备针对IPhone、Android等移动设备使用0day漏洞的高级入侵能力。https://world.huanqiu.com/article/440t5PHmlZs
https://www.163.com/dy/article/GFBAOM170552C1MS.html
https://new.qq.com/rain/a/20210719A0DHRG00
https://www.sohu.com/a/478410191_617717
https://www.washingtonpost.com/technology/2021/07/19/nso-business-us/
https://www.washingtonpost.com/technology/2021/07/18/what-to-know-spyware-pegasus/
https://twitter.com/magi_jay/status/1417168819412520962
https://www.freebuf.com/articles/paper/185152.html
https://www.freebuf.com/articles/network/216761.html
https://www.freebuf.com/articles/network/235625.html
本文为CNTIC整理，不代表本公众号观点，转载请保留出处与链接。
联系信息进入公众号后点击“论坛信息”可见。
还没有评论，来说两句吧...