想象一下：您正坐在一个政府委员会中，调查有史以来最具侵入性的监视工具之一。然后你会发现你的手机上一直运行着同一个工具。这正是发生的事情斯泰利奥斯·库洛格鲁曾任欧洲议会议员，曾在 PEGA 委员会任职，该机构的任务是调查整个欧盟范围内 Pegasus 间谍软件的滥用情况。根据一个公民实验室法医报告，他的 iPhone 于 2022 年 10 月被感染，并于 2023 年 3 月再次被感染，当时正是委员会工作的关键时期。

这不是一个关于一部被盗手机的故事。这是一个关于如何商业间谍软件已成为对民主制度的严重威胁。更实际的是，它提出了每个开发人员、记者和具有隐私意识的人都应该问的问题：这种攻击实际上是什么样的，以及存在哪些防御措施？

是什么让飞马座如此危险

大多数人认为电话黑客攻击需要受害者点击不良链接。飞马座由以色列公司 NSO Group 建造的并不总是需要这样的。它使用研究人员所说的零点击漏洞利用，需要目标零交互的攻击向量。没有可点击的链接。没有文件可打开。间谍软件会悄悄地自行安装。

安装后，Pegasus 可以访问消息、电子邮件、麦克风、摄像头和 GPS 位置。它可以读取 Signal 或 WhatsApp 等加密消息应用程序，因为它在操作系统级别运行，低于这些应用程序加密数据的级别。当加密开始时，Pegasus 已经看到了纯文本的内容。

库洛格鲁案还揭示了一些关于目标逻辑的令人不安的事情。公民实验室注意到他的感染时间线与单独的 Pegasus 战役针对欧洲讲俄语和白俄罗斯语的流亡记者。这表明单个 Pegasus 客户在多个欧洲国家开展业务，而不是一个小型或不成熟的参与者。

了解威胁模型在这里很重要。 Pegasus 并不是在暗网论坛上出售的廉价恶意软件。根据 NSO 集团自己的营销说法，它专门出售给政府。这改变了对谁可能成为目标以及原因的计算。政客、记者、律师和活动人士面临着普通消费者很少遇到的威胁。但防御原则广泛适用。

这些感染实际上是如何发生的：技术观察

零点击攻击通常针对自动处理不受信任数据的软件。考虑一下您的手机如何处理传入的 iMessage、语音邮件通知或日历邀请。所有这些都会在您与它们交互之前触发后台解析。该解析代码中的漏洞是入口点。

以下是感染链的简化视图：

送货：特制的数据包、消息或推送通知将发送到目标设备。无需用户交互。
开发：iOS或Android后台进程中的漏洞被触发。内存以受控的方式被破坏。
有效负载安装：一个小型加载程序运行并从远程服务器下载完整的 Pegasus 植入程序。
持久性：该间谍软件以重新启动后仍能存活的方式嵌入自身，尽管 iOS 更新有时会破坏它。
渗漏：捕获的数据以加密的突发方式发送回命令和控制服务器，通常模仿正常的应用程序流量。

取证检测，就像 Citizen Lab 在 Kouloglou 的 iPhone 上执行的操作一样，依赖于检查系统日志、进程工件和网络流量模式。类似的工具移动验证工具包 (MVT)是专门为此目的而建造的。 MVT 可以分析 iPhone 备份或 Android 设备数据以查找已知的 Pegasus 危害指标 (IOC)。

# 通过 pip 安装 MVT
pip 安装 mvt

# 分析 Pegasus IOC 的 iPhone 备份
mvt-ios check-backup --iocs 路径/to/iocs.stix2 路径/to/iphone/backup

# 检查已连接的iOS设备（需要先完整备份）
mvt-ios check-fs --iocs 路径/to/iocs.stix2 路径/to/extracted/fs

MVT 是免费且开源的。公民实验室和国际特赦技术公司用于法证工作的工具是同一类工具。它不会阻止感染，但它是检测感染的起点。与高风险客户合作的安全团队应将此部分纳入其标准工具包。

锁定模式不是噱头

苹果推出锁定模式iOS 16 中作为对 Pegasus 等复杂间谍软件的直接响应。这是一个极端的强化选项，可以禁用零点击漏洞利用通常滥用的各种功能。大多数人不需要它。对于高危人群来说，这是值得理解的。

Diagram showing how Pegasus spyware infects an iPhone through a zero-click exploit

锁定模式的实际作用是：

Pegasus 间谍软件如何运作

第一步：感染

Pegasus 使用零点击漏洞来感染设备。

第 2 步：访问

安装后，它可以访问消息、摄像头和位置。

第三步：数据收集

在加密之前读取 Signal 等加密应用程序。

第四步：监控

静默运行，在用户不知情的情况下收集数据。

阻止 iMessage 中的大多数消息附件类型
禁用来自未知联系人的 FaceTime 通话
手机锁定时阻止与配件的有线连接
禁用共享相册和一些网页浏览功能
防止安装配置文件

这种权衡是真实的。有些应用程序会崩溃。有些工作流程变得很尴尬。但对于记者、律师或任何可能成为高价值监视目标的人来说，攻击面的减少是显着的。苹果还承诺向找到绕过锁定模式的安全研究人员付费，这会产生经济激励来保持锁定模式的强化。

锁定模式并不是灵丹妙药。意志坚定的州级攻击者拥有寻找新零日漏洞的资源。但它大大增加了攻击的成本，当你谈论据称每次部署花费数百万美元的间谍软件时，这一点很重要。更高的成本意味着更少的目标被击中。

开发人员可以从状态级攻击中学到什么

事情是这样的：大多数开发商都不是欧洲议会议员。但 Pegasus 运作方式的经验教训直接映射到对任何构建或保护软件的人都很重要的原则。 Kouloglou 案例本质上是一个大师课，展示了当威胁建模被忽视时会发生什么。

这NIST 网络安全框架强调识别、保护、检测、响应和恢复作为安全的五个支柱。 Pegasus 的攻击暴露了所有五个方面的差距。处理敏感通信的组织，无论是欧盟委员会、律师事务所还是医疗平台，通常都会特别低估检测和响应步骤。

实际上，开发人员和组织应该拿走什么？

减少攻击面：每个解析不受信任数据的后台进程都是潜在的零点击入口点。最大限度地减少您的应用在无需用户启动的情况下处理的内容。
假设违规：设计系统，确保受感染的端点不会暴露所有内容。端到端加密很有帮助，但密钥管理也很重要。
使用硬件安全密钥：即使设备受到损害，硬件身份验证令牌也会增加纯软件攻击难以绕过的一层。
日志和监控：异常网络流量通常是间谍软件活动的第一个可检测迹象。对于敏感部署来说，适当的日志记录基础设施不是可选的。

对于处理敏感应用程序的团队来说，也值得阅读AWS 安全文档关于隔离模式。如果单个端点受到威胁，云架构的选择会对攻击者的攻击范围产生真正的影响。网络分段、最低权限 IAM 角色和加密秘密管理都可以减少爆炸半径。

如果您想深入了解漏洞分析的统计方面，可以使用我们的工具百分位计算器可以帮助安全团队根据内部历史数据对补丁节奏或响应时间进行基准测试。

每个人都搞错的 VPN 问题

此类报道曝光后，人们立即会问：VPN 会有帮助吗？老实说，不多。一个VPN加密您的设备和 VPN 服务器之间的流量。 Pegasus 在设备本身上运行，位于网络层之下。当您的数据到达 VPN 隧道时，间谍软件已经在本地捕获了它。

也就是说，VPN 确实在其他情况下提供了有意义的保护。它们可以防止网络级监视，防止公共 Wi-Fi 上的中间人攻击，并隐藏您的互联网提供商的流量。对于前往高风险国家的记者来说，VPN 是更广泛防御态势的一部分，而不是独立的解决方案。看看我们的全面的 VPN 指南如果您想了解 VPN 在哪些方面真正有帮助，在哪些方面没有帮助。

更广泛的教训是安全工具需要与实际威胁相匹配。使用 VPN 对抗 Pegasus 就像在潜艇中穿着雨衣一样。威胁来自完全不同的方向。

您现在可以实际使用的检测工具

如果您与高风险客户合作或个人属于可能会受到复杂监视的类别，那么这里有一些值得了解的具体工具。这些都不是理论上的。公民实验室和国际特赦技术公司已在实际调查中使用它们。

Screenshot of Mobile Verification Toolkit running on a terminal to scan an iPhone backup for spyware

移动验证工具包 (MVT)

MVTAmnesty Tech 的产品是 iOS 和 Android 取证分析的黄金标准。它根据已知的 Pegasus 和商业间谍软件 IOC 检查设备工件。它需要一定的命令行舒适度，但文档很可靠。您可以在以下位置找到它：github.com/mvt-project/mvt。

防范间谍软件攻击

✓

使用锁定模式
激活 iOS 锁定模式以增强安全性。

✓

使用检测工具
为了安全起见，请使用商业间谍软件检测工具。

✓

定期更新
保持设备更新以减少漏洞。

✓

限制权限
限制应用程序权限以最大限度地减少数据访问。

验证

验证是一款商业 iOS 安全应用程序，可运行自动威胁检测扫描。它建立在与 MVT 类似的取证逻辑之上，但面向非技术用户打包。它在独立测试中发现了 Pegasus 感染，并被一些高风险组织用作常规监控工具。

用于网络分析的 Wireshark

Wireshark可以捕获和分析来自设备的网络流量。间谍软件通常以与正常应用程序流量相比看起来不寻常的模式与命令和控制服务器进行通信。安全研究人员使用它来发现异常的出站连接。它需要专业知识来解释，但它是免费且强大的。

GreyKey 和 Cellebrite：了解另一面

了解执法部门和老练的攻击者使用什么也很有价值。类似的工具塞勒布里特和灰键用于从锁定的手机中提取数据。了解这些存在可以为有关全磁盘加密设置和自动锁定计时器的决策提供信息。即使使用这些工具，快速锁定并使用强密码的手机也很难从中提取数据。

更大的图景：谁面临风险

库洛格鲁的案例不寻常，但并非独一无二。公民实验室已记录了针对墨西哥记者、沙特阿拉伯活动人士、西班牙律师以及现在正在调查间谍软件本身的欧盟议员的 Pegasus 感染。这种模式表明，无论谁控制了这些部署，都不会羞于针对民主国家的人民。

这实际上意味着什么？如果您从事调查性新闻、政治宣传、人权法或政府监督工作，您的威胁模型与典型的开发人员或消费者不同。如果您接触过政治敏感信息，则应将您的手机视为可能受到威胁的设备。

对于其他人来说，教训更多的是关于系统意识。支持 Pegasus、零日经纪商、私人情报公司和政府间谍软件市场的基础设施主要在法律灰色地带运行。欧盟通过 PEGA 委员会所做的工作等监管反应是难题之一。技术防御是另一回事。单独任何一个都不够。

构建处理敏感数据的应用程序的团队可以从探索容器化实践中受益Docker 文档或审查编排安全模式Kubernetes 文档。隔离工作负载限制了受损组件可能造成的损害程度，这与使锁定模式在 iOS 上有效的原理相同。

安全社区也有很多好的教育资源。卡格尔学习涵盖支持法医工作的数据分析基础知识。如果您正在考虑团队或组织的内容安全，Buffer的资源库涵盖分布式团队的安全通信实践。

开始认真对待移动安全

库洛格鲁案不仅为政客敲响了警钟，也为任何处理有权势人士可能想要的信息的人敲响了警钟。商业间谍软件是真实存在的，它被用来对付民主国家的人民，而且它足够复杂，可以逃避大多数消费者级别的防御。

好消息是防御措施是存在的。锁定模式、MVT、硬件安全密钥和深思熟虑的网络架构都会增加攻击成本。没有完美的防御，但让自己成为昂贵的目标可以显着降低风险。

如果您在高风险领域工作，请立即使用 MVT 进行法医扫描。阅读NIST 网络安全框架了解您的组织的差距在哪里。并查看我们的全面的 VPN 指南了解网络级工具实际上适合您的防御堆栈的哪些位置。安全不是一种工具。这是一种分层的姿势，清晰地了解你实际上要防御的是什么。