间谍软件.

间谍软件以隐秘方式运行,收集浏览历史、凭据、位置信息、键盘输入、截图、麦克风或摄像头数据以及即时通讯消息等,然后将其发送到攻击者控制的服务器。其范围从灰色地带的类广告软件追踪程序,到针对记者、异见人士和高管的高度定向商业植入物。

危害最大的现代间谍软件通过无需受害者任何交互的"零点击"(zero-click)漏洞利用链进行投放。Citizen Lab 在 2021 年发现的 NSO Group 的 Pegasus 揭露了 FORCEDENTRY(CVE-2021-30860):一个伪装成 GIF 的恶意 PDF,会触发 Apple CoreGraphics JBIG2 解码器中的整数溢出,从而绕过 BlastDoor 沙箱——Apple 已于 2021 年 9 月 13 日在 iOS 14.8 中修复该漏洞。由 Amnesty International 牵头的 Pegasus Project 记录了对数千名活动人士和官员的定向攻击。类似的雇佣型工具还包括 Predator(Cytrox/Intellexa)和 FinFisher(FinSpy),而面向消费者的跟踪软件通常由施害者借助短暂的物理接触安装。

flowchart LR
  A[投放:恶意应用、<br/>零点击漏洞、链接] --> B[安装隐蔽植入物]
  B --> C[提权并规避<br/>沙箱 / 检测]
  C --> D[收集:键盘输入、麦克风、<br/>摄像头、消息、位置]
  D --> E[外传至 C2 服务器]
  E --> F[操作者实施监控]

防御措施包括使用经过验证的应用商店、移动 EDR/MDM、及时更新操作系统与浏览器、Apple 的锁定模式(Lockdown Mode)、严格的权限控制、加密通信以及定期的设备完整性检查。