iPhoneの新たなゼロクリック脆弱性が発見される、NSOのスパイウェア「Pegasus」にも利用されていた

カナダ・トロント大学を拠点とするセキュリティ研究機関・Citizen Labが2022年4月18日に、iOSで新たなゼロクリックのエクスプロイトが見つかったと発表しました。

CatalanGate: Extensive Mercenary Spyware Operation against Catalans Using Pegasus and Candiru - The Citizen Lab
https://citizenlab.ca/2022/04/catalangate-extensive-mercenary-spyware-operation-against-catalans-using-pegasus-candiru/

Newly found zero-click iPhone exploit used in NSO spyware attacks
https://www.bleepingcomputer.com/news/security/newly-found-zero-click-iphone-exploit-used-in-nso-spyware-attacks/

Citizen Labが今回発表したのは、スパイウェア「Pegasus」で知られるイスラエル企業・NSO Groupが使っていたiMessageのエクスプロイトです。

「HOMAGE」と名付けられたこのゼロクリックのエクスプロイトは、スペインの自治州であるカタルーニャ州の政治家やジャーナリストなどを主な標的としたもので、「Kismet」と呼ばれるiMessageの脆弱(ぜいじゃく)性やWhatsAppの脆弱性と組み合わせて使用されました。

Citizen Labは、2017年～2020年の間に「HOMAGE」による攻撃を受けたカタルーニャの活動家は65人に上ると推測しており、その中には2010年以降に就任した全てのカタルーニャ州政府首相も含まれているとのこと。具体的には、2010年～2016年まで首相を務め、退任後にPegasusに感染したアルトゥール・マス氏、2016年～2017年まで在任したカルレス・プッチモン氏、2018年～2020年まで在任したキム・トーラ氏、そして2021年から現職のペレ・アラゴネス州首相の4人です。

このエクスプロイトを用いた攻撃の出どころは不明ですが、Citizen LabはPegasusが政府にのみ販売されていることを指摘した上で、「犠牲者やターゲットの性質・攻撃の時期・スペイン政府がNSO Groupのクライアントの1つだと報告されているといった状況証拠から、スペイン政府との強い結びつきが示唆されています」と述べて、カタルーニャ州の独立を巡り同州と対立しているスペイン中央政府の関与が強く疑われるとの見方を示しました。

Citizen Labによると、カタルーニャ州のターゲットのうち、iOSのバージョンが13.1.3より新しいデバイスでこのエクスプロイトが使われた例は確認されていないため、エクスプロイトはiOS 13.2で修正された可能性が高いとのこと。

Citizen Labは、既にエクスプロイトに関する詳細な情報をAppleに提供しており、記事作成時点で最新のバージョンのiOSが搭載されているiPhoneユーザーが「HOMAGE」での攻撃にさらされているとのエビデンスはないとしています。