NSOのゼロクリックiPhoneハッキングは、デバイスのHomeKitにアクセスすることで機能したが、Appleのロックダウンモードセキュリティ機能を使用しているユーザーによってブロックされ、電話にアクセス試行が警告された。

しかし、他の 2 つの NSO ゼロクリック攻撃は成功したようです。どちらも「探す」アプリの脆弱性を悪用したものです。

ゼロクリック攻撃

デバイスへの攻撃の多くは、リンクをタップすることで所有者を騙し、マルウェアをインストールさせることに成功しています。よくある手口としては、AppleやPayPalなどからのメールを装ったメッセージを送信することが挙げられます。

テクノロジーに精通し、セキュリティ意識の高いiPhoneユーザーは、こうした兆候をよく知っていますが、いわゆるゼロクリック攻撃に対する保護策は長らく存在してきませんでした。この攻撃により、ユーザーが何もしなくてもデバイスが侵害される可能性があります。

スパイウェア企業NSOは、iPhoneをゼロクリック攻撃で悪名高い存在として知られています。これらの攻撃の多くは、人権侵害の記録に乏しい政府によって、政敵、ジャーナリスト、弁護士、人権活動家へのスパイ活動に利用されていました。これらの攻撃では、iMessageを受信するだけで（開封さえしなくても）、iPhoneへのリモートアクセスが可能となります。

ロックダウンモード

国家が支援する攻撃の標的になる可能性が最も高い人々を守るため、Appleは昨年、ゼロクリック攻撃が実行されるリスクを最小限に抑えるように設計されたiPhoneの機能を制限するロックダウンモードを導入した。

ロックダウンモードは、政府による監視の深刻なリスクがあると考える人のみを対象としています。このモードでは、ほとんどのメッセージ添付ファイルをブロックしたり、多くのウェブサイトを無効化したりするなど、iPhoneの機能が大幅に制限されます。

新たなNSOゼロクリックiPhoneハッキング3件を検出

Citizen Labのセキュリティ研究者は、NSOを標的とした新たなiPhoneゼロクリックハッキング3件の詳細を公開した。これらのハッキングは昨年末に検知されていたが、AppleがiOSにパッチを当てて攻撃をブロックするまで、Citizen Labは詳細を公表していなかった。

3 件の攻撃のうち 2 件で使用された攻撃ベクトルは、マルウェアを含んだ iMessage を送信し、他の標準 Apple アプリの脆弱性を悪用することだと思われます。

「PWNYOURHOME」は、2022年10月からiOS 15およびiOS 16に対して展開されました。これは、2段階のゼロクリック攻撃を仕掛ける新しいタイプのエクスプロイトで、各段階でiPhone上の異なるプロセスを標的としています。最初の段階ではHomeKitが、2番目の段階ではiMessageが標的となっています。

「FINDMYPWN」は、2022年6月からiOS 15に対して展開されました。これも2段階のエクスプロイトであるようで、最初のステップではiPhoneの「探す」機能をターゲットとし、2番目のステップではiMessageをターゲットとしています。

2022年10月にAppleとフォレンジックアーティファクトを共有し、2023年1月にはPWNYOURHOMEに関する追加のフォレンジックアーティファクトを共有しました。これにより、AppleはiOS 16.3.1でHomeKitのセキュリティ強化をいくつかリリースしました。

FINDMYPWNとPWNYOURHOMEを特定した後、NSO Groupによる2022年最初のゼロクリック（「LATENTIMAGE」）の痕跡が、単一の標的のスマートフォン上で発見されました。このエクスプロイトもiPhoneの「探す」機能を利用していた可能性がありますが、FINDMYPWNとは異なるエクスプロイトチェーンです。

報告書によれば、ロックダウンモードが有効になっている標的は、こうした攻撃の 1 つについて警告を受けたという。

iOS 16のロックダウンモード機能を有効にしていた標的デバイスでは、PWNYOURHOMEのエクスプロイトが試行された際に、一時期リアルタイムの警告が表示されていました。NSO Groupは後にこのリアルタイム警告の回避策を考案した可能性がありますが、ロックダウンモードが有効になっているデバイスに対してPWNYOURHOMEが実際に使用された事例は確認されていません。

声明によると、これらの攻撃はメキシコの人権団体を標的としたものだった。国連は昨年、メキシコで10万人以上が「行方不明者」として登録されており、政敵が跡形もなく姿を消すという長い歴史を持つメキシコ政府によって殺害されたと推定されていると報告した。

fullide.com を Google ニュース フィードに追加します。