公民实验室通过监控高危手机捕获NSO的零点击iPhone攻击

到2020年，NSO集团的飞马间谍软件能够零点击接管iPhone，而NSO的客户正将其瞄准记者。《纽约时报》记者本·哈伯德报道沙特阿拉伯，并正在撰写关于王储穆罕默德·本·萨勒曼的书籍，他在2018年6月至2021年6月期间成为攻击目标。向NSO投诉和哈伯德及公民实验室的公开报道并未使其停止：他的手机在2020年7月和2021年6月再次被高度确信遭到入侵。

公民实验室的反制措施是监控攻击者实际瞄准的手机。2019年12月，它开始在可能成为目标的用户设备上运行VPN，并分析备份和日志以寻找痕迹，因为即使零点击漏洞也必须通过网络到达并接触文件系统。2021年9月，实验室捕获了NSO的FORCEDENTRY漏洞利用，从沙特活动家的iPhone备份中恢复，进行了逆向工程，并向苹果披露。

同样的方法将哈伯德的无声感染变成了有时间戳的公开记录：他的DataUsage.sqlite文件中的间隙、名为“bh”的进程、被删除的iMessage附件，以及用于攻击沙特活动家的相同投放账户，使公民实验室高置信度地断定他的iPhone在2020年7月12日和2021年6月13日遭到入侵。苹果在漏洞披露六天后发布了iOS 14.8补丁修复FORCEDENTRY。实验室保留了一些检测特征，如“HIPPOCRENE FACTOR”，以保持对NSO间谍软件的可见性。

在高危手机上配置VPN以捕获零点击间谍软件，然后向供应商披露

零点击攻击仍须通过网络到达手机并接触文件系统，因此VPN和备份显示受害者看不到的东西：攻击以带日期的证据形式出现。

这些手机属于NSO客户真正瞄准的人，因此公民实验室捕获了真实的作战攻击，并能高置信度地将该工具与NSO联系起来。

披露捕获的漏洞给了苹果所需的信息：FORCEDENTRY在六天后于iOS 14.8中被修复，这是任何投诉、诉讼或公开报道都未能实现的修复。

保留一些未公开的检测特征，如HIPPOCRENE FACTOR，意味着实验室在公开其余方法后仍能继续发现感染。

监测攻击者瞄准的人群：VPN加备份分析将隐形零点击攻击转变为带日期且可归因的证据，向供应商披露则能得到修复。

在公民实验室2021年9月披露后六天，苹果发布了iOS 14.8，关闭了FORCEDENTRY。公民实验室和大赦国际继续验证了半岛电视台员工、法国和匈牙利记者以及印度The Wire编辑的类似感染，而飞马项目泄露显示了NSO客户滥用该工具的广泛程度。哈伯德的案例显示了披露的局限：他在2020年初公开报道后在2021年再次被感染，公民实验室断定NSO未采取有效措施阻止对一位著名美国记者的攻击。