これを想像してみてください。あなたは、これまでに構築された中で最も侵入的な監視ツールの 1 つを調査する政府の委員会に座っています。その後、同じツールが携帯電話でずっと実行されていたことがわかります。まさにそれが起こったのですステリオス・クーログロウ、元欧州議会議員で、EU 全体でのペガサススパイウェアの悪用を調査する任務を負った機関である PEGA 委員会の委員を務めました。によるとCitizen Lab フォレンジックレポート, 彼の iPhone は 2022 年 10 月に感染し、2023 年 3 月にも再び感染しました。ちょうど委員会の作業の重要な時期でした。

これは、1 台の携帯電話が侵害されたという話ではありません。というお話です商用スパイウェア民主主義制度にとって深刻な脅威となっている。そして、より実際的には、開発者、ジャーナリスト、プライバシーを重視するすべての人が尋ねるべき疑問が生じます。この種の攻撃は実際にはどのようなもので、どのような防御策が存在するのでしょうか?

ペガサスが危険な理由

ほとんどの人は、電話ハッキングでは被害者が不正なリンクをクリックする必要があると想像しています。ペガサスイスラエルの企業NSOグループによって構築されたものは、必ずしもそれを必要とするわけではありません。研究者が呼ぶものを使用しますゼロクリックエクスプロイト、ターゲットからのインタラクションを必要としない攻撃ベクトル。クリックするリンクがありません。開くファイルがありません。スパイウェアはサイレントに自動的にインストールされます。

Pegasus をインストールすると、メッセージ、電子メール、マイク、カメラ、GPS 位置情報にアクセスできるようになります。 Signal や WhatsApp などの暗号化されたメッセージングアプリを読み取ることができます。これは、アプリがデータを暗号化するレベルより下のオペレーティングシステムレベルで動作するためです。暗号化が開始されるまでに、ペガサスはすでにコンテンツを平文で認識しています。

クーログルー事件では、ターゲットのロジックに関して不安な点も明らかになりました。 Citizen Lab は、彼の感染スケジュールと感染状況が重複していることに注目しました。別のペガサスキャンペーンロシア語とベラルーシ語を話すヨーロッパの亡命ジャーナリストをターゲットにしている。これは、小規模または単純な攻撃者ではなく、単一のペガサスの顧客がヨーロッパの複数の国で活動していることを示唆しています。

ここでは脅威モデルを理解することが重要です。 Pegasus は、ダークウェブフォーラムで販売される安価なマルウェアではありません。 NSO グループ独自のマーケティングによれば、この製品は政府のみに販売されています。それによって、誰がなぜ標的にされるのかという計算が変わります。政治家、ジャーナリスト、弁護士、活動家は、一般の消費者がめったに遭遇しない脅威に直面しています。しかし、防御の原則は広く適用されます。

これらの感染症が実際にどのように機能するか: 技術的な外観

ゼロクリックエクスプロイトは通常、信頼できないデータを自動的に処理するソフトウェアをターゲットにします。着信 iMessage、ボイスメール通知、またはカレンダーへの招待を携帯電話がどのように処理するかを考えてください。これらはすべて、操作する前にバックグラウンド解析をトリガーします。その解析コードの脆弱性がエントリポイントです。

感染チェーンの簡略化した図は次のとおりです。

配達：特別に作成されたパケット、メッセージ、またはプッシュ通知がターゲットデバイスに送信されます。ユーザーの操作は必要ありません。
搾取：iOS または Android のバックグラウンドプロセスの脆弱性が引き起こされます。メモリは制御された方法で破損します。
ペイロードのインストール:小さなローダーが実行され、リモートサーバーから完全な Pegasus インプラントがダウンロードされます。
永続性:このスパイウェアは、再起動しても存続する方法で自身を埋め込みますが、iOS のアップデートによりスパイウェアが破壊される場合があります。
流出:キャプチャされたデータは、通常のアプリトラフィックを模倣して、暗号化されたバーストでコマンドアンドコントロールサーバーに送り返されます。

Citizen Lab がクログロウ氏の iPhone で実行したのと同様、フォレンジック検出は、システムログ、プロセスアーティファクト、ネットワークトラフィックパターンの調査に依存しています。のようなツールモバイル検証ツールキット (MVT)この目的のために特別に構築されました。 MVT は、iPhone のバックアップまたは Android デバイスのデータを分析して、既知の Pegasus 侵害指標 (IOC) を検出できます。

# pip 経由で MVT をインストールする
pip インストールMVT

# Pegasus IOC の iPhone バックアップを分析する
mvt-ios check-backup --iocs path/to/iocs.stix2 path/to/iphone/backup

# 接続されている iOS デバイスを確認します (最初に完全バックアップが必要です)
mvt-ios check-fs --iocs path/to/iocs.stix2 path/to/extracted/fs

MVT は無料のオープンソースです。これは、Citizen Lab や Amnesty Tech がフォレンジック作業に使用しているのと同じクラスのツールです。感染を防ぐことはできませんが、感染を検出するための出発点となります。高リスクのクライアントと連携するセキュリティチームは、これを標準ツールキットの一部にする必要があります。

ロックダウンモードは単なるギミックではない

アップルが導入ロックダウンモードiOS 16 では、Pegasus のような洗練されたスパイウェアへの直接の対応として。これは、ゼロクリックエクスプロイトが一般的に悪用する幅広い機能を無効にする、極端な強化オプションです。ほとんどの人はそれを必要としません。高リスクの人にとっては、理解する価値があります。

Diagram showing how Pegasus spyware infects an iPhone through a zero-click exploit

ロックダウンモードが実際に行うこと:

Pegasus スパイウェアの動作方法

ステップ 1: 感染

Pegasus は、ゼロクリックエクスプロイトを使用してデバイスに感染します。

ステップ 2: アクセス

インストールされると、メッセージ、カメラ、位置情報にアクセスします。

ステップ 3: データ収集

Signal などの暗号化されたアプリを暗号化前に読み取ります。

ステップ 4: 監視

サイレントに動作し、ユーザーが気付かないうちにデータを収集します。

iMessage のほとんどのメッセージ添付ファイルの種類をブロックします
不明な連絡先からの FaceTime 通話を無効にします
電話機がロックされている場合、アクセサリへの有線接続をブロックします
共有フォトアルバムと一部の Web ブラウジング機能を無効にします
構成プロファイルがインストールされないようにします

このトレードオフは現実のものです。一部のアプリが壊れます。一部のワークフローはぎこちなくなります。しかし、ジャーナリスト、弁護士、または重要な監視対象となる可能性のある人にとって、攻撃対象領域の減少は重要です。 Apple はまた、ロックダウンモードへの回避策を発見したセキュリティ研究者に報酬を支払うことを約束しており、これによりロックダウンモードを強化し続けるための経済的インセンティブが生まれます。

ロックダウンモードは特効薬ではありません。決意を持った州レベルの攻撃者は、新たなゼロデイを見つけるためのリソースを持っています。しかし、攻撃のコストは大幅に上昇します。これは、導入ごとに数百万ドルの費用がかかると言われているスパイウェアの場合に重要です。コストが高いほど、攻撃を受けるターゲットが少なくなります。

開発者が国家レベルの攻撃から学べること

ここで重要なのは、ほとんどの開発者は議員ではないということです。しかし、Pegasus の動作方法から得た教訓は、ソフトウェアを構築または保護する人にとって重要な原則に直接当てはまります。クログロウ事件は本質的に、脅威モデリングが無視された場合に何が起こるかを示すマスタークラスです。

のNIST サイバーセキュリティフレームワークセキュリティの 5 つの柱として、識別、保護、検出、対応、回復を強調しています。ペガサスの攻撃により、5 つすべてのギャップが明らかになります。 EU の委員会、法律事務所、医療プラットフォームなど、機密性の高い通信を処理する組織は、特に検出と対応の手順を過小評価していることがよくあります。

実際のところ、開発者や組織は何を奪う必要があるのでしょうか?

攻撃対象領域を削減します。信頼できないデータを解析するバックグラウンドプロセスはすべて、ゼロクリックエントリポイントとなる可能性があります。ユーザーの操作なしでアプリが処理する内容を最小限に抑えます。
違反を想定します:侵害されたエンドポイントによってすべてが公開されないようにシステムを設計します。エンドツーエンドの暗号化は役立ちますが、キー管理も重要です。
ハードウェアセキュリティキーを使用します。 Even if a device is compromised, hardware authentication tokens add a layer that pure software attacks struggle to bypass.
ログと監視:異常なネットワークトラフィックは、多くの場合、スパイウェア活動の最初の検出可能な兆候です。機密性の高い展開では、適切なログインフラストラクチャはオプションではありません。

機密性の高いアプリケーションに取り組んでいるチームにとっては、次の内容も読む価値があります。AWS のセキュリティに関するドキュメント分離パターンについて。クラウドアーキテクチャの選択は、単一のエンドポイントが侵害された場合に攻撃者が到達できる範囲に大きな影響を与えます。ネットワークのセグメンテーション、最小権限の IAM ロール、暗号化されたシークレットの管理はすべて、爆発範囲を縮小します。

脆弱性分析の統計面をさらに詳しく知りたい場合は、次のようなツールを使用してください。パーセンタイル計算機セキュリティチームがパッチの頻度や応答時間を内部の履歴データと比較してベンチマークするのに役立ちます。

誰もが間違える VPN の質問

このような話が広まると、人々はすぐに「VPN があれば役に立っただろうか?」と尋ねます。正直、あまり多くはありません。あVPNデバイスと VPN サーバー間のトラフィックを暗号化します。 Pegasus は、ネットワーク層の下のデバイス自体で動作します。データが VPN トンネルに到達するまでに、スパイウェアはすでにデータをローカルにキャプチャしています。

とはいえ、VPN は他の状況でも意味のある保護を提供します。ネットワークレベルの監視を防ぎ、公共 Wi-Fi での中間者攻撃から保護し、インターネットプロバイダーからのトラフィックを隠します。リスクの高い国に旅行するジャーナリストにとって、VPN は単独のソリューションではなく、より広範な防衛態勢の一部です。私たちをチェックしてください包括的な VPN ガイドVPN が本当に役立つ場合とそうでない場合を理解したい場合。

より広範な教訓は、セキュリティツールは実際の脅威に適合する必要があるということです。 Pegasus に対して VPN を使用することは、潜水艦の中でレインコートを着るようなものです。脅威はまったく別の方向から来ています。

今すぐ実際に使える検出ツール

リスクの高いクライアントと仕事をしている場合、または個人的に高度な監視を受ける可能性のあるカテゴリーに属している場合は、知っておく価値のある具体的なツールを次に示します。これらは理論的なものではありません。 Citizen Lab と Amnesty Tech は実際の調査にそれらを使用しました。

Screenshot of Mobile Verification Toolkit running on a terminal to scan an iPhone backup for spyware

モバイル検証ツールキット (MVT)

MVTAmnesty Tech のは、iOS および Android フォレンジック分析のゴールドスタンダードです。既知の Pegasus および商用スパイウェア IOC に対してデバイスアーティファクトをチェックします。コマンドラインをある程度使いこなす必要がありますが、ドキュメントはしっかりしています。で見つけることができますgithub.com/mvt-project/mvt。

スパイウェア攻撃からの保護

✓

ロックダウンモードを使用する
セキュリティを強化するには、iOS ロックダウンモードを有効にします。

✓

検出ツールを採用する
安全のために市販のスパイウェア検出ツールを使用してください。

✓

定期的なアップデート
脆弱性を軽減するためにデバイスを最新の状態に保ちます。

✓

権限を制限する
アプリの権限を制限してデータへのアクセスを最小限に抑えます。

i検証

i検証は、自動脅威検出スキャンを実行する商用 iOS セキュリティアプリです。これは、MVT と同様のフォレンジックロジックに基づいて構築されていますが、技術者以外のユーザー向けにパッケージ化されています。独立したテストで Pegasus 感染を検出し、一部の高リスク組織で日常的な監視ツールとして使用されています。

ネットワーク分析のための Wireshark

ワイヤーシャークデバイスからのネットワークトラフィックをキャプチャして分析できます。スパイウェアは、通常のアプリトラフィックと比べて異常なパターンでコマンドアンドコントロールサーバーと通信することがよくあります。セキュリティ研究者はこれを使用して、異常な送信接続を特定します。解釈には専門知識が必要ですが、無料で強力です。

GreyKey と Cellebrite: 裏側を知る

法執行機関や高度な攻撃者が何を使用しているかを理解することも重要です。のようなツールセレブライトそしてグレーキーロックされた電話からデータを抽出するために使用されます。これらの存在を知ることで、フルディスク暗号化設定と自動ロックタイマーに関する決定を行うことができます。すぐにロックされ、強力なパスコードを使用する携帯電話は、これらのツールを使用したとしても、データを抽出するのが非常に困難になります。

全体像: 誰が危険にさらされているのか

クログルー事件は珍しいものではありますが、特別なものではありません。 Citizen Lab は、メキシコのジャーナリスト、サウジアラビアの活動家、スペインの弁護士、そして現在はスパイウェア自体を調査している EU 国会議員をターゲットにしたペガサス感染を記録しました。このパターンは、こうした配備を管理する者が民主主義国の人々を標的にすることを躊躇していないことを示唆している。

これは実際には何を意味するのでしょうか?調査報道、政治的擁護、人権法、政府監視の分野で働いている場合、その脅威モデルは一般的な開発者や消費者とは異なります。政治的に機密情報に接触したことがある場合は、携帯電話を侵害される可能性のあるデバイスとして扱う必要があります。

他のすべての人にとって、このレッスンは体系的な認識に関するものです。 Pegasus、ゼロデイブローカー、民間情報会社、政府のスパイウェア市場を可能にするインフラストラクチャは、主に法的なグレーゾーンで運営されています。 PEGA委員会を通じたEUの取り組みのような規制対応は、パズルの1ピースだ。技術的な防御もまた別です。どちらか一方だけでは十分ではありません。

機密データを扱うアプリケーションを構築するチームは、コンテナ化の実践を検討することで恩恵を受けることができます。ドッカードキュメントまたはオーケストレーションのセキュリティパターンを確認するKubernetes ドキュメント。ワークロードを隔離することで、侵害されたコンポーネントが及ぼすダメージの量が制限されます。これは、iOS でロックダウンモードを有効にするのと同じ原理です。

セキュリティコミュニティには優れた教育リソースもたくさんあります。Kaggle を学ぶフォレンジック作業を支えるデータ分析の基礎について説明します。チームや組織のコンテンツセキュリティについて考えている場合は、バッファのリソースライブラリ分散チーム向けの安全な通信の実践について説明します。

モバイルセキュリティを真剣に考え始めましょう

クログロウ事件は、政治家だけでなく、権力者が欲しがるかもしれない情報を扱うすべての人にとって、警鐘を鳴らすものである。商用スパイウェアは本物であり、民主主義国家の人々に対して使用されており、ほとんどの消費者レベルの防御を回避できるほど高度です。

良いニュースは、防御策が存在するということです。ロックダウンモード、MVT、ハードウェアセキュリティキー、および思慮深いネットワークアーキテクチャはすべて、攻撃のコストを高めます。完璧な防御はありませんが、自分自身を高価なターゲットにすることで、リスクを大幅に軽減できます。

高リスクの分野で作業している場合は、今すぐ MVT を使用したフォレンジックスキャンから始めてください。を読んでください。NIST サイバーセキュリティフレームワーク組織のギャップがどこにあるのかを理解するために。そして私たちをチェックしてください包括的な VPN ガイドネットワークレベルのツールが防御スタックのどこに実際に適合するかを理解するためです。セキュリティは 1 つのツールではありません。それは、実際に何に対して防御しているのかについて明確な目を持って構築された多層的な姿勢です。