一款新的手機掃描器已檢測到7個Pegasus感染的間諜軟體

近年來的商業間諜軟體

近年來，商業間諜軟體被越來越多的行為者用來攻擊更多的受害者，但目前的說法仍然是這些惡意軟體主要用於針對極少數人的攻擊。然而，檢查設備是否感染間諜軟體卻很困難，這讓人們不得不依賴一些學術機構和非政府組織，這些機構一直在努力開發檢測行動間諜軟體的技術。週二，行動設備安全公司iVerify發佈了它在五月推出的間諜軟體檢測功能的研究結果。在2,500次設備掃描中，有七次發現了臭名昭著的NSO Group（NSO集團）所開發的間諜軟體Pegasus的感染。

iVerify的間諜軟體檢測工具

這家公司提供的行動威脅獵捕功能，結合了惡意軟體簽名檢測、啟發式檢測和機器學習，來尋找iOS和Android設備活動中的異常或間諜軟體感染的明顯跡象。對於付費的iVerify客戶，這個工具會定期檢查設備是否可能受到攻擊。不過，該公司也為任何下載iVerify Basics應用程式的人提供免費版本，這個應用程式只需1美元。這些用戶可以按照步驟生成並發送一個特殊的診斷工具檔案給iVerify，並在幾小時內獲得分析。免費用戶每月可以使用一次這個工具。iVerify的基礎設施設計上是為了保護隱私，但為了運行行動威脅獵捕功能，用戶必須輸入電子郵件地址，以便公司在掃描發現間諜軟體時可以聯繫他們，最近的七次Pegasus發現就是這樣。

意外的目標群體

iVerify的首席營運官Rocky Cole表示：“真正有趣的是，這些被攻擊的人不僅僅是記者和活動家，還有商業領袖、經營商業的人和政府官員。”他說：“這看起來更像是普通惡意軟體或APT（高級持續威脅）組織的目標，而不是之前所說的雇傭間諜軟體被用來針對活動家的情況。這確實發生了，但這種社會的交叉點讓人感到驚訝。”

間諜軟體的普遍性

2,500次掃描中發現七次感染聽起來可能是一個小群體，尤其是在iVerify的用戶中，不論是付費還是免費，這些用戶本來就希望監控他們的行動設備安全，更不用說專門檢查間諜軟體了。但這個工具已經發現了一些感染的事實，顯示出間諜軟體在全球的使用已經非常普遍。擁有一個簡單的工具來診斷間諜軟體的感染，可能會讓我們更清楚這種惡意軟體的使用頻率。

NSO集團的聲明

NSO Group的發言人Gil Lainer在一份聲明中告訴《WIRED》：“NSO集團的產品僅銷售給經過審核的美國和以色列盟友的情報和執法機構。我們的客戶每天都在使用這些技術。”

技術的挑戰

iVerify的研究副總裁Matthias Frielingsdorf將在週五於夏威夷毛伊島的Objective by the Sea安全會議上發表該團隊的Pegasus研究結果。他表示，開發這個檢測工具需要大量的投資，因為像Android和特別是iOS這樣的行動操作系統，比傳統的桌面操作系統更為封閉，不允許監控軟體直接進入系統的核心。Cole表示，關鍵的見解是使用盡可能接近核心的遙測數據來調整機器學習模型以進行檢測。一些間諜軟體，如Pegasus，還具有特徵性特徵，使其更容易被標記。在這七次檢測中，行動威脅獵捕功能利用診斷數據、關機日誌和崩潰日誌捕捉到了Pegasus。但Cole表示，挑戰在於改進行動監控工具，以減少誤報。

檢測能力的重要性

不過，開發檢測能力已經非常有價值。Cole表示，這幫助iVerify在Gurpatwant Singh Pannun的智慧型手機上識別出妥協的跡象，Pannun是一名律師和錫克政治活動家，他在紐約市遭到一名印度政府雇員的襲擊未遂。行動威脅獵捕功能還在總統選舉期間，標記了兩名Harris-Walz競選官員的行動設備上可疑的國家行為—一名是競選的高級成員，另一名是IT部門的成員。

手機安全的警示

Cole表示：“假設iPhone和Android手機是安全的時代已經結束。知道你的手機是否有間諜軟體的能力並不普遍。過去有技術障礙，讓很多人無法獲得這些資訊。現在你有能力知道你的手機是否感染了商業間諜軟體。而且這個比例遠高於目前的說法。”

更新於2024年12月4日美東時間中午12:12，包含NSO集團的聲明。

更新於2024年12月4日下午2點，美東時間，包含有關iVerify工具如何檢測間諜軟體的更多細節。