维基解密再爆CIA开发攻击工具以长期潜伏Mac及iPhone

维基解密继月初爆料后，周四再公布第二批美国中情局（CIA）文件，揭露CIA曾针对Mac电脑及iPhone发展的攻击工具。
 
这批名为暗物质（Dark Matter）的文件是维基解密为月初Vault 7行动的第二部分，包含CIA如何发展EFI/UEFI及固件恶意程式，且长期潜伏在Mac电脑和iPhone上。
 
维基解密揭露一个名为Sonic Screwdriver的工具，能在Mac笔电或桌机开机时，在周边装置上执行程式码。它的感染器储存在苹果装置的Thunderbolt连接埠上的固件上，借此感染任何以像是USB随身碟实体存取Mac电脑的装置，躲避固件上的密码防护而植入CIA发展的恶意程式。

事实上，Sonic screwdriver使用的Thunderbolt攻击手法最早是见于2012年黑帽年会中，后来由安全研究人员Trammell Hudson首度发表概念验证攻击。媒体推断CIA可能是在读取他的简报后才开发这项工具，当时必须实体存取到Mac电脑一段时间才能攻击。由于Hudson之后又将其“升级”为可远端攻击，因此如果CIA是以他为师，则Sonic screwdriver也可能发展出远端攻击的能力。
 
而名为DarkSeaSkies的间谍程式则可植入并潜伏在苹果MacBook Air 的EFI固件，它是由三种分别植入EFI、核心空间（kernel space）及使用者空间（user space）的间谍程式组成，包括DarkMatter、SeaPea及NightSkies。
 
这批文件还介绍名为Triton的MacOS X恶意程式，可植入硬盘窃取文件，它还有一个储存在EFI的无磁盘版姐妹品Der Starke，它比Triton更难侦测，还能和Sonic Screwdriver攻击程式并用，危险性更高。文件显示，Der Starke 1.4曾成功入侵2013年的OS X 10.7，迄今CIA还持续更新，目前正在发展Der Starke 2.0版。
 
除了Mac电脑外，这批文件还公布了iPhone攻击程式。CIA于2008年发展的NightSkies 1.2可以存取iPhone中的联络人、简讯及通话纪录，再上传CIA的服务器，还可透过指令远端下载工具。不过它的感染方式相当古老，只能用iTunes将它从电脑传到iPhone上，而且仅影响2009年推出的iPhone 3G及iOS 2.1。文件显示CIA主要是感染iPhone供应链以植入新出厂的手机。
 
所幸上述文件涉及的软件瑕疵，都已经过苹果修补。文件发布后，苹果对媒体发表声明指出，文件中提及的iPhone漏洞已在2009年修补完成，而所有Mac漏洞在2013年后也都不复存在。苹果也否认与维基解密有过任何交涉，并未在私下接获该组织任何资讯。