Google安全人员:“NSO的漏洞是我们见过的最复杂的漏洞之一”

安全 漏洞
Google的安全研究人员对NSO集团的一个零点击iMessage进行了深入研究,并揭示了该公司攻击的复杂性。

 Google的安全研究人员对NSO集团的一个零点击iMessage进行了深入研究,并揭示了该公司攻击的复杂性。 GoogleProject Zero(零点项目)指出,ForcedEntry零点击漏洞--它已被用来针对活动家和记者--是“我们所见过的技术中最复杂的漏洞之一”。

[[440725]]

另外,它还说明了NSO集团的能力可以跟那些民族国家行为者相媲美。

苹果于2021年9月中旬在iOS 14.8中修补了零点击漏洞,指定为CVE-2021-30860。

该漏洞超越了所谓的一键式点击,即依靠目标点击一个链接。Project Zero指出,NSO集团开发的Peg ASUS 软件的初始入口是iMessage的加密信息平台。研究人员写道:“这意味着只需要受害者用他们的电话号码或AppleID用户名就可以被定为目标。”

一旦消息被发送给用户,该漏洞就能依赖于iMessage接受和解码GIF图像等文件的方式的漏洞。从那里开始,它会欺骗平台打开恶意的PDF而不需要用户的任何互动。

更具体地说,确切的漏洞存在于一个用于识别图像中文本的传统压缩工具中。然而一旦被利用,它允许NSO集团的客户完全接管一部 iPhone 。

该攻击的复杂性的迹象超出了最初的利用。据Project Zero称,ForcedEntry甚至还建立了自己的虚拟化命令和控制环境,而不是直接与服务器进行通信,这使得它更难被发现。

像ForcedEntry这样由NSO集团制造的攻击已经被政府多次用来攻击记者、活动家和政治异见人士。至少在一个案例中,NSO集团的间谍软件被用来对美国国务院官员发起定向攻击。

苹果早在11月就起诉了NSO集团以寻求让该集团为其对iPhone用户的监控负责。12月,有报道称,在诉讼和批评的压力下,NSO集团正在考虑放弃其Pegasus间谍软件。

 

责任编辑:张燕妮 来源: www.cnbeta.com
相关推荐

2021-12-19 22:48:42

漏洞网络安全网络攻击

2012-01-12 12:31:00

2021-07-09 11:29:27

Kaseya漏洞攻击

2022-01-04 07:20:50

iOS苹果漏洞

2014-12-25 09:51:32

2022-01-14 09:46:47

WordPress插件漏洞攻击

2016-11-14 19:28:34

爬虫GoogleGoogle Mass

2015-05-17 21:25:49

2013-10-12 17:31:26

2021-03-13 07:07:24

CPU漏洞处理器

2013-08-09 13:13:32

2015-01-29 11:15:35

2021-06-25 10:24:30

Google开源漏洞数据库

2012-11-19 16:56:31

2013-07-27 14:14:25

2017-01-05 14:01:30

安全开发运维漏洞

2021-01-04 11:10:53

漏洞网络攻击恶意软件

2017-10-25 15:03:12

网络安全软技能沟通

2019-05-23 11:23:50

点赞
收藏

51CTO技术栈公众号