苹果iMessage中的严重零点击 (zero-click) 漏洞

安全公司iVerify最近发布了一份名为“昵称 (Nickname)”的漏洞报告，揭示了一个存在于苹果iMessage中的严重零点击 (zero-click) 漏洞。该漏洞允许攻击者在无需用户任何交互的情况下，远程攻击并可能控制目标iPhone。报告指出，有证据表明该漏洞已被用于针对美国和欧盟的政治活动、媒体机构、人工智能公司和政府实体的高调个人。

漏洞详情

该漏洞存在于iMessage处理联系人“昵称”更新的方式中。当用户在iMessage中设置或更新其个人资料（包括昵称和头像）时，他们可以选择与联系人共享这些信息。攻击者可以利用此功能，向目标设备发送一连串恶意的昵称更新请求。

这种快速、重复的请求会引发一个名为“竞态条件 (race condition)”的内存损坏漏洞，具体来说是“释放后使用 (use-after-free)”。这会导致处理iMessage通信的“imagent”进程崩溃，并为攻击者创造一个执行任意代码的机会，从而可能安装间谍软件或其他恶意程序。由于整个攻击过程不需要受害者点击任何链接或采取任何操作，因此被归类为“零点击”攻击，使其极为危险和难以防范。

受影响的系统与补丁

根据报告，该漏洞影响了苹果的iOS系统。苹果公司已经在一个更新版本中修复了此漏洞。iVerify的报告中提到，在iOS 18.3版本中，该漏洞已被修补。

攻击目标与影响

iVerify在2024年末至2025年初期间，在与美国和欧盟的政治竞选、新闻机构、AI公司以及政府有关联的个人的iPhone上检测到了与此漏洞相关的异常活动。报告指出，他们观察到至少6台设备成为攻击目标，其中4台显示了与“昵称”漏洞相关的明确特征，另外2台则有成功被利用的迹象。

一旦设备被成功利用，攻击者将可以访问设备上的所有通信内容，无论这些通信是通过Signal、Gmail还是其他任何安全应用程序进行的。这凸显了即使通信渠道本身是加密和安全的，如果终端设备被攻破，所有信息仍然会暴露。

结论与建议

“昵称”漏洞的发现再次敲响了移动设备安全的警钟，即便是以安全著称的iPhone也并非坚不可摧。零点击攻击的复杂性和隐蔽性对个人和组织都构成了严重威胁。

iVerify建议用户：

及时更新系统：确保您的iOS设备已更新至最新版本，以获取最新的安全补丁。
保持警惕：虽然此类攻击难以察觉，但了解其存在有助于提高整体安全意识。
使用移动安全解决方案：考虑使用像iVerify这样的移动端点检测和响应 (EDR) 工具，以帮助检测和抵御此类高级威胁。