Pegasus被發現用來感染加泰羅尼亞地區官員的iPhone手機

當地時間周一，調查顯示有證據表明使用了另一種工具：PegASUS。

報告稱，至少有63人成為Pegasus的目標或被感染，另有4人成為Candiru間諜軟件的目標，還有2人成為兩種工具的目標。受害者名單包括加泰羅尼亞自治區主席、立法者、民間社會組織成員、歐洲議會成員和家庭成員。

雖然Citizen Lab沒有直接歸咎于這些攻擊，但它稱有大量間接證據指向西班牙政府的方向。

作為西班牙最富有的自治區之一，加泰羅尼亞地區長期以來一直試圖擴大其自治權，通常受到西班牙政府的反對。這一點在2017年被西班牙憲法法院視為非法的獨立公投期間尤為明顯，據稱警察將選民拒之門外并據稱過度使用武力。

在加泰羅尼亞議會批準投票后不久，西班牙政府解散了該議會并安排了新的選舉。此后，參加公投的人被送進監獄，西班牙則繼續與獨立運動作斗爭。

調查確定，在63個目標中，有51個被發現有法醫證實的感染。然而由于西班牙的Android系統比iOS系統的普及率高且調查人員使用的取證工具對iOS系統更加發達，報告認為它嚴重低估了可能因為擁有Android設備而成為目標并感染Pegasus的人數。

幾個“非中心”目標的例子即家庭成員、工作人員的親近成員和其他跟相關人員有關的個人被發現遭到了感染，這能在不一定保持連接的情況下就能收集有關主體的數據。

所有支持獨立的加泰羅尼亞歐洲議會議員都淪為目標，無論是直接的還是非中心的，其中包括對歐洲議會議員的三次直接感染和兩次非中心攻擊。

其他已確定的目標包括支持政治獨立的民間團體，如Assemblea Nacional Catalana、Omnium Cultural及代表加泰羅尼亞知名人士的律師們。

“Homage”和證據

就Pegasus的工作方式而言，零點擊iMessage漏洞在2017年至2020年期間被實施過，這是一種相當普遍的技術。然而在2019年年底發現的一個零點擊漏洞叫Homage。

據了解，Homage涉及一個iMessage零點擊組件啟動WebKit實例，發生在執行Pegasus電子郵件地址的查詢后。WebKit實例獲取了JavaScript支架，然后獲取了漏洞本身。

該支架甚至可以通過比較可能匹配的屏幕分辨率來確定iPhone的型號、“顯示變焦”模式是否參與以及加密一個緩沖區所需的時間。

跟這些漏洞有關的域名似乎是由一個Pegasus客戶控制，這表明這一切都是由一個實體完成。據報道，西班牙國家情報中心(CNI)是NSO集團的一個客戶，該國的內政部有可能進行同樣的攻擊。

其他間接證據包括：目標的時間似乎是西班牙政府感興趣的、誘餌短信的內容推斷出可以獲取官方身份證號碼等個人信息以及目標是西班牙政府明顯感興趣的。

Citizen Lab認為，該案件的嚴重性顯然值得進行正式調查，從而確定責任方、如何授權黑客攻擊、法律框架、行動規模及黑客數據的用途。另外，它還認為該案件值得注意的原因是黑客活動的性質不受限制。

關于加泰羅尼亞地區使用Pegasus攻擊的報告是在確定歐盟委員會高級官員在2021年成為攻擊者的目標并使用同樣的工具試圖獲得智能手機的訪問權后一周發布的。