Citizen Lab、リスクの高い端末を監視してNSOのゼロクリックiPhone攻撃を捕捉

2020年までに、NSO GroupのスパイウェアPegasusはゼロクリックでiPhoneを乗っ取ることが可能になり、NSOの顧客はそれをジャーナリストに向けていた。サウジアラビアを取材し、ムハンマド・ビン・サルマン皇太子についての本を執筆していたニューヨーク・タイムズ特派員ベン・ハバードは、2018年6月から2021年6月にかけて標的にされた。NSOへの苦情やハバードとCitizen Labによる公開報告はそれを止められなかった。彼の端末は2020年7月と2021年6月に、高い確度で再びハッキングされた。

Citizen Labの対抗策は、攻撃者が実際に狙っている端末を監視することだった。2019年12月、同ラボは標的になり得るユーザーの端末上でVPNを運用し始め、バックアップとログを解析して痕跡を調べた。ゼロクリックの攻撃であってもネットワークを通過し、ファイルシステムに触れなければならないからだ。2021年9月、同ラボはNSOのFORCEDENTRY攻撃を実環境で捕捉し、サウジアラビアの活動家のiPhoneバックアップから復元してリバースエンジニアリングし、Appleに開示した。

同じ手法により、ハバードの静かな感染は日付の特定できる公開記録となった。DataUsage.sqliteファイルの欠落、'bh'という名前のプロセス、削除されたiMessageの添付ファイル、そしてサウジアラビアの活動家に対して使われたのと同じ配信アカウントにより、Citizen Labは彼のiPhoneが2020年7月12日と2021年6月13日にハッキングされたと高い確度で結論づけられた。Appleは開示から6日後のiOS 14.8でFORCEDENTRYの修正プログラムを配信した。同ラボはNSOのスパイウェアに対する可視性を保つため、一部のシグネチャ（HIPPOCRENE FACTOR）を伏せた。

リスクの高い端末にVPNを導入してゼロクリックのスパイウェアを現行犯で捕捉し、ベンダーに開示する

ゼロクリック攻撃であっても、ネットワーク経由で端末に到達しファイルシステムに触れる必要があるため、VPNとバックアップは被害者には見えないものを明らかにする。すなわち、攻撃が日付の付いた証拠として届くのだ。

端末はNSOの顧客が実際に標的にしていた人々のものだったため、Citizen Labは実際の運用上の攻撃を捕捉し、そのツールを高い確度でNSOに結びつけることができた。

捕捉した攻撃を開示したことでAppleに必要なものが与えられた。FORCEDENTRYは6日後のiOS 14.8で修正され、これは苦情、訴訟、公開報告のいずれも実現できなかった修正だった。

HIPPOCRENE FACTORなど一部の検知シグネチャを非公開にしておくことで、同ラボは他の手法を公開した後も感染を発見し続けることができた。

攻撃者が標的にする集団に計測手段を導入する。VPNとバックアップ解析により、目に見えないゼロクリック攻撃が日付と帰属の特定できる証拠に変わり、ベンダーに開示することで修正が配信される。

AppleはCitizen Labの2021年9月の開示から6日後にiOS 14.8を配信し、FORCEDENTRYを塞いだ。Citizen Labとアムネスティはさらに、アルジャジーラのスタッフ、フランスとハンガリーのジャーナリスト、インドのThe Wireの編集者に対する同様の感染を検証し、Pegasus ProjectのリークはNSOの顧客がこのツールをいかに広く悪用していたかを示した。ハバードの事例は開示の限界を示した。彼は2020年初頭に公表した後、2021年に再び感染し、Citizen LabはNSOが著名なアメリカ人ジャーナリストへの標的化を止めるための実効的な措置を取らなかったと結論づけた。