中国骇客组织再度监控维吾尔穆斯林，锁定执行特定版本iOS装置的族群下手

借由国家资助的骇客组织，中国-监控少数民族的情况，去年有数起事件传出，其中由Google揭露、为期长达2年的一系列监控行动，自8月公开后，骇客似乎就停止攻击，但事隔不到半年，骇客再度有所行动。专精于内存鉴识的资安公司Volexity指出，他们于今年1月到3月，侦测到新一波间谍攻击，由中国当局资助的Evil Eye骇客组织，滥用了较新版本iOS漏洞，并骇入6个网站做为媒介，来感染浏览网站的使用者，目标是监控维吾尔族穆斯林的电子邮件与即时通讯对话内容。由于这些遭到滥用的漏洞，苹果已经在去年7月推出的iOS 12.4版修补，因此他们呼吁使用者，假如iPhone或iPad执行的操作系统较为老旧，应该要赶快升级到新版来加以防堵。

这次骇客组织攻击的对象，是执行iOS 12.3到12.3.2版装置的用户，而且无论受害者使用的浏览器是内建的Safari，还是自行安装的Chrome或是Edge，只要浏览骇客窜改过的网站，都会被植入名为“失眠（Insomnia）”的恶意软件，而遭到监控，其中，骇客锁定的情搜范围，主要是当地有许多用户使用的加密邮件软件ProtonMail，以及加密即时通讯软件Signal，当中的信件或是讯息内容。

在这起中国骇客监控维吾尔族穆斯林行动的攻击途径而言，使用者浏览已遭窜改的网站，骇客会先检查浏览器环境，假如符合条件，他们就会解密恶意的JavaScript脚本，来准备渗透受害装置。

接着，恶意JavaScript脚本会检查装置的iOS版本，一旦是12.3至12.3.2这几个目标版本，骇客便会植入名为“失眠（Insomnia）”的恶意软件，来监控使用者的电子邮件与即时通讯内容。

值得留意的是，为了避免与C&C中继站的通讯内容被泄露，骇客使用了开放源代码的Ironsquirrel框架，来加密与C&C中继站之间的传输内容。

该公司也指出几个他们发现被骇的当地网站，像是维吾尔学院（Uyghur Academy），以及中文版的维吾尔时报（Uighur Times）等。其中前者的网站里，骇客的作案工具存在长达好几个月。

根据苹果针对存取App Store的装置进行统计，仍有许多iOS装置执行旧版操作系统，有30%的iPhone装置执行iOS 12以下的版本，iPad的比例则有43%，接近一半。因此Volexity呼吁使用者，赶快升级新版操作系统，来减少遭到攻击的危险。

中国骇客透过网站与iOS漏洞来监控-的穆斯林，其实已经不是第一次。去年8月，Google于2019年初发现，中国骇客组织正在监控维吾尔穆斯林，其利用的手法，就是旧版iOS 10.0.1到12.1.2的漏洞，在合法网站植入恶意程式，来暗中监控浏览网站的使用者，期间长达2年以上，前后总共发动至少5波攻击，使得苹果后来出面澄清，宣称影响范围并未如Google所述的严重。后来，这起攻击事件中，还出现了意图监控Windows与Android装置的恶意软件。