시티즌 랩, 위험에 노출된 아이폰을 감시해 NSO의 제로클릭 아이폰 해킹을 포착하다

2020년까지 NSO 그룹의 페가수스 스파이웨어는 클릭 한 번 없이 아이폰을 장악할 수 있었고, NSO 고객들은 이를 기자들에게 겨누고 있었다. 사우디아라비아를 취재하고 무함마드 빈 살만 왕세자에 관한 책을 쓰고 있던 뉴욕타임스 특파원 벤 허버드는 2018년 6월부터 2021년 6월까지 표적이 되었다. NSO에 대한 항의와 허버드 및 시티즌 랩의 공개 보도로도 막지 못했다. 그의 휴대폰은 2020년 7월과 2021년 6월에 높은 신뢰도로 다시 해킹당했다.

시티즌 랩의 대응은 공격자들이 실제로 겨누고 있는 휴대폰을 감시하는 것이었다. 2019년 12월, 시티즌 랩은 표적이 될 가능성이 있는 사용자들의 기기에서 VPN을 운영하기 시작했고, 제로클릭 익스플로잇조차 네트워크를 통과하고 파일 시스템에 접촉해야 하기 때문에 백업과 로그에서 흔적을 분석했다. 2021년 9월, 연구소는 사우디 활동가의 아이폰 백업에서 복구한 NSO의 FORCEDENTRY 익스플로잇을 실제 환경에서 포착하고 역공학으로 분석한 뒤 애플에 공개했다.

같은 방식으로 허버드의 조용한 감염은 날짜가 기록된 공개 기록으로 바뀌었다. 그의 DataUsage.sqlite 파일의 공백, 'bh'라는 이름의 프로세스, 삭제된 iMessage 첨부 파일, 그리고 사우디 활동가를 상대로 사용된 것과 동일한 전송 계정을 통해 시티즌 랩은 그의 아이폰이 2020년 7월 12일과 2021년 6월 13일에 해킹당했다고 높은 신뢰도로 결론지을 수 있었다. 애플은 공개 엿새 후 iOS 14.8에서 FORCEDENTRY 패치를 배포했다. 연구소는 NSO 스파이웨어에 대한 가시성을 유지하기 위해 일부 시그니처인 HIPPOCRENE FACTOR를 공개하지 않았다.

위험에 노출된 휴대폰에 VPN을 설치해 제로클릭 스파이웨어를 현장에서 포착한 뒤 벤더에 공개한다

제로클릭 공격도 여전히 네트워크를 통해 휴대폰에 도달하고 파일 시스템에 접촉해야 하므로, VPN과 백업은 피해자가 볼 수 없는 것을 보여준다. 즉 공격이 날짜가 기록된 증거로 도착한다.

해당 휴대폰은 NSO 고객들이 실제로 표적으로 삼던 사람들의 것이었기에, 시티즌 랩은 실제 작전상의 공격을 포착하고 그 도구를 높은 신뢰도로 NSO와 연결할 수 있었다.

포착한 익스플로잇을 공개한 것은 애플에 필요한 것을 제공했다. FORCEDENTRY는 엿새 후 iOS 14.8에서 패치되었는데, 어떤 항의나 소송, 공개 보도로도 만들어내지 못한 수정이었다.

HIPPOCRENE FACTOR처럼 일부 탐지 시그니처를 공개하지 않음으로써, 연구소는 나머지 방법을 공개한 뒤에도 감염을 계속 식별할 수 있었다.

공격자가 표적으로 삼는 집단에 계측을 적용하라. VPN과 백업 분석은 보이지 않는 제로클릭 공격을 날짜가 기록되고 출처를 특정할 수 있는 증거로 바꾸며, 이를 벤더에 공개하면 수정이 배포되게 한다.

애플은 시티즌 랩이 2021년 9월에 공개한 엿새 후 iOS 14.8을 배포해 FORCEDENTRY를 막았다. 시티즌 랩과 앰네스티는 이어서 알자지라 직원, 프랑스와 헝가리의 기자, 인도 The Wire의 편집자들에 대한 유사한 감염을 검증했고, 페가수스 프로젝트 유출은 NSO 고객들이 이 도구를 얼마나 광범위하게 남용했는지 보여주었다. 허버드의 사례는 공개의 한계를 보여주었다. 그는 2020년 초 공개된 뒤 2021년에 다시 감염되었고, 시티즌 랩은 NSO가 저명한 미국인 기자에 대한 표적 공격을 막기 위한 효과적인 조치를 취하지 않았다고 결론지었다.