公民實驗室透過監控高風險手機，抓到 NSO 的零點擊 iPhone 駭侵

到了 2020 年，NSO Group 的 Pegasus 間諜軟體已能在無需任何點擊的情況下接管 iPhone，而 NSO 的客戶正把它對準記者。《紐約時報》駐外記者 Ben Hubbard 曾報導沙烏地阿拉伯，並正在撰寫一本關於王儲 Mohammed bin Salman 的書，他在 2018 年 6 月至 2021 年 6 月期間成為攻擊目標。向 NSO 提出的申訴，以及 Hubbard 與公民實驗室的公開報導，都未能阻止此事：他的手機在 2020 年 7 月與 2021 年 6 月再度遭到駭侵，此事具有高度信心。

公民實驗室的反制之道，是監控攻擊者實際鎖定的那些手機。2019 年 12 月，它開始在可能成為目標的使用者裝置上架設 VPN，並分析備份與日誌以尋找痕跡，因為即使是零點擊漏洞利用程式，也必須經由網路傳輸並觸及檔案系統。2021 年 9 月，該實驗室在實際環境中擷取到 NSO 的 FORCEDENTRY 漏洞利用程式，它是從一名沙烏地維權人士的 iPhone 備份中還原出來的；實驗室對其進行了逆向工程，並向蘋果披露。

同樣的視角把 Hubbard 那些無聲的感染轉變為有日期可考的公開紀錄：他的 DataUsage.sqlite 檔案出現缺口、一個名為「bh」的行程、遭刪除的 iMessage 附件，以及與對付該名沙烏地維權人士時所使用的同一個投遞帳號，使公民實驗室得以高度信心判定他的 iPhone 在 2020 年 7 月 12 日與 2021 年 6 月 13 日遭到駭侵。蘋果在披露後六天，於 iOS 14.8 推出針對 FORCEDENTRY 的修補程式。該實驗室保留了部分特徵碼，即 HIPPOCRENE FACTOR，以維持其對 NSO 間諜軟體的觀察能力。

在高風險手機上部署 VPN，以當場捕捉零點擊間諜軟體的活動，再向廠商披露

零點擊攻擊仍必須經由網路抵達手機並觸及檔案系統，因此 VPN 與備份能顯示出受害者無法看到的事：攻擊是以有日期可考的證據形式到來。

這些手機屬於 NSO 客戶真正鎖定的對象，因此公民實驗室捕捉到的是真實的實際行動攻擊，並能高度信心地把工具追溯到 NSO。

披露所擷取到的漏洞利用程式，給了蘋果所需的資訊：FORCEDENTRY 在六天後於 iOS 14.8 獲得修補，這是任何申訴、訴訟或公開報導都未能促成的修正。

保留部分偵測特徵碼不予公開，例如 HIPPOCRENE FACTOR，意味著該實驗室在公開其餘方法之後，仍能持續偵測到感染。

對攻擊者所鎖定的人群部署監控工具：VPN 加上備份分析，能把隱形的零點擊攻擊轉化為有日期、可歸因的證據，而向廠商披露則能促成修補程式發布。

在公民實驗室 2021 年 9 月披露後六天，蘋果推出 iOS 14.8，修補了 FORCEDENTRY。公民實驗室與國際特赦組織隨後驗證了半島電視台員工、法國與匈牙利的記者，以及印度《The Wire》編輯遭到的類似感染，而 Pegasus Project 的洩密資料則顯示 NSO 客戶濫用該工具的程度之廣。Hubbard 的案例顯示了披露的極限：他在 2020 年初公開之後，於 2021 年再度遭到感染，公民實驗室認定 NSO 並未採取有效步驟，來阻止一名知名美國記者成為攻擊目標。