2026-11-12 12:19:28 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

九百分之一：间谍软件“大众化”，普通员工成犯罪团伙头号目标

原创

网空闲话
网空闲话

网空闲话plus

2026年11月11日 07:08
北京

去阅读

移动间谍软件不再只是政府针对少数高价值目标的工具。威胁狩猎公司iVerify发布的《2026高级移动威胁报告》显示，犯罪团伙正利用泄露的iOS漏洞工具包，通过在线广告、被入侵网站乃至App Store应用，大规模感染普通消费者和普通员工的手机[1][2]。The Record 2026年11月10日报道将这一变化概括为：iOS间谍软件“走向主流”，头号威胁行为者已不是政府，而是网络犯罪分子，且攻击“不加区分”[1]。

核心发现：犯罪团伙成为头号威胁

iVerify对消费者免费在线检测的扫描数据显示，iOS间谍软件感染率为每1000次消费者扫描1.07起，约合每900次扫描1起；若纳入企业客户监测设备，感染率降至0.7/1000。报告强调，上述数字均为保守估计下限，且实际数字可能被低估，因为部分DarkSword指标在设备上存在时间极短，扫描若在其消失后进行就可能漏检[2]。作为对比，iVerify 2024年12月报告曾发现Pegasus感染率为2.5/1000；2025年初研究约为1.5/1000。尽管消费者基数自2025年初以来增至三倍以上，感染率仍稳定在约1/1000，而非继续下降[2]。按消费者感染率估算，一家普通财富500强企业每年约发生65起设备感染[1][2]。

威胁主体结构已明显变化：2026年检测中约75%为犯罪行为人部署Coruna或DarkSword漏洞工具包，其余约25%涉及Pegasus等雇佣间谍软件[1]。但今年的Pegasus检出多为2021—2023年的旧指标，iVerify自2023年以来未记录到新的Pegasus检出；报告将此解读为“可见性问题”，而非Pegasus等停止运作[2]。iVerify联合创始人Rocky Cole表示：“今年是iOS间谍软件走向主流、成为所有人问题的一年。如今针对iPhone使用间谍软件的头号威胁行为者不是政府，而是网络犯罪分子，这是一个不分目标的问题。”0rcus联合创始人兼CEO Nic Adams则评论：“九百分之一是‘撒网’数字，不是‘瞄准’数字。雇佣间谍软件原本是手术刀，现在却被当作网来用。”[1]

企业场景同样不容乐观。报告称，2026年所有由犯罪行为人发起的企业检测均涉及董事总经理（MD）及以下级别员工；在已确认案例中，未发现高管或VIP被针对性攻击的证据[2]。这并不意味着高管安全，而是高管更可能拥有受管设备、强制更新和更密切的安全关注，反而使普通员工成为更易被忽视的目标。报告还指出，攻击落地组织大量依赖自带设备（BYOD）项目；若MDM不强制个人手机更新，员工可数月不合规而无后果[2]。

投递路径：广告、被劫持代码与App Store

DarkSword是2026年3月公开的基于JavaScript的全链iOS漏洞利用工具包和间谍软件框架，可通过“水坑攻击”在用户无需点击链接的情况下感染——只需用浏览器访问被入侵网站即可触发[1]。Coruna同样通过Web攻击投递，利用WebKit和内核漏洞；该框架从防务承包商流出，曾被用于通过虚假中文金融网站从超过4.2万台iOS设备窃取加密货币[1]。Google威胁情报组于2025年2月首次发现Coruna；2026年3月3日，GTIG与iVerify披露Coruna包含5条完整iOS利用链、共23个漏洞利用，覆盖iOS 13.0至17.2.1。15天后，GTIG、Lookout与iVerify披露DarkSword，覆盖iOS 18.4至18.7；一周内GitHub出现更新版本，使无专业知识者也能改用途[2]。Coruna扩散还与L3Harris Trenchant前高管Peter Williams直接相关；他因窃取漏洞并在地下市场出售以换取加密货币认罪，2026年2月被判七年监禁[1]。到2026年9月，针对易受攻击iOS版本的Coruna攻击已触及5%的设备，高于8月的1.5%[2]。

广告成为关键投递面。报告称，定向展示广告可承载“半点击”攻击，广告加载即触发漏洞，受害者无需点击；iVerify观察到一例发生在用户刷Instagram时[2]。广告平台可按设备、操作系统版本、位置和兴趣选择受众，使攻击者把针对特定iOS版本的漏洞主要展示给运行该版本的iPhone用户，并把加密钱包持有者作为重点[2]。Citizen Lab 2026年10月《AdFection》报告记录了该技术在雇佣间谍软件中的使用：以色列广告技术公司Discover-Tech的广告仅向选定设备返回投递间谍软件的代码，针对至少45名半岛电视台记者，Citizen Lab以“高置信度”将其与Candiru关联；iVerify认为该技术已从记者和雇佣供应商扩展到大规模犯罪活动[2]。iVerify还记录到同一名普通用户遭遇两次独立攻击：第一次通过Instagram信息流中由ad-track[.]live投放的广告，未点击即感染DarkSword变体；第二次在点击链接后感染另一威胁行为者的不同DarkSword变体；两起均评估为加密货币盗窃，广告域名以2026年世界杯为主题， bait chosen for reach[2]。

被遗忘的Web代码同样被劫持。2026年10月，Report URI的Scott Helme记录了一个名为DeadTag的团伙于2026年9月15日购买过期电商分析域名ecomtrack[.]io，将其变成大规模活动，劫持数千家合法网站、合计每月1.35亿次访问，用于投递DarkSword和Coruna；其中一条链最终匹配iVerify的P7变体[2]。App Store也未能完全幸免：应用FomoPeek的1.1和1.2版本于2026年9月9日和12日上架，隐藏工具包使用8种攻击方法，针对iOS 12.0至18.7.2及26.0至26.1，可逃逸沙盒、读取并解密钥匙串、拉取其他应用文件；SlowMist与OKX安全团队分析显示，约58万美元USDT被追踪至攻击者，1.3版本于9月17日移除工具包[2]。报告称这是一个案例而非趋势，但打破了“只装App Store应用就足够”的核心假设。

影响与后果：凭据、消息、钱包与蠕虫

一部被感染的手机如今暴露更多。DarkSword可提取“设备钥匙串”和“已登录账户”，P7变体还会在设备上打包钥匙串内容后再外传；个人手机若存有企业邮箱、单点登录、聊天和VPN应用，攻击者读取钥匙串后即可冒充员工登录企业服务[2]。报告建议：“若用于工作的设备被入侵，应视其上所有凭据均已泄露。”端到端加密保护传输中的消息，但操作系统被攻陷后，存储在手机上的Telegram、WhatsApp对话可被读取；DarkSword从一开始就收集Telegram和WhatsApp数据，2026年9月Coruna增加Telegram植入模块，其解密配置还列出WhatsApp和微信[2]。加密货币是最快变现路径：Coruna犯罪载荷扫描文本和图片中的恢复短语，并针对18个钱包应用；P7增加专用钱包命令，Report URI恢复的较新版本针对超过25个加密应用[2]。

更严峻的是自传播能力。2026年9月，iVerify分析了WeWorm——首个已知的移动端零点击蠕虫，由Calif开发，利用微信漏洞；攻击者手机呼叫微信联系人，在通话仍振铃时接管账户，被感染手机再呼叫下一个联系人，横跨iOS和Android。该研究演示已修补，但Calif团队借助AI约两天内从漏洞走到可用利用链；在企业内部，沿联系人列表移动的蠕虫就是沿团队移动[2]。

检测危机：证据消失与ATN盲区

攻击者正更积极地清理痕迹，取证价值下降。DarkSword无持久化，运行、窃取、离开，重启或更新可移除运行中的植入物及许多痕迹；P7移除原版调试日志、减少进程注入，并在上传后删除部分工作文件[2]。投递基础设施也隐藏行踪：Citizen Lab发现Discover-Tech广告服务器对非选定目标返回空响应；Report URI发现数据中心和VPN地址持续收到空响应，部分住宅访客只收到一次载荷后再无内容[2]。据iVerify所知，所有被确认感染DarkSword或Coruna的设备均未收到Apple威胁通知（ATN）；ATN似乎过度聚焦Pegasus、Paragon等国家背景威胁[2]。Apple 2026年10月通知波覆盖99个国家，距8月覆盖110个国家的通知仅11周，为首次如此密集；iVerify调查了十余起ATN，未发现取证上可靠的高置信证据，部分对象符合过去雇佣间谍软件目标画像，部分收到多次通知，部分与早期Pegasus活动强相关，但证据在调查前已消失[2]。报告称，iOS不向第三方提供类似macOS Endpoint Security的框架，连续设备端监测成为必要；否则组织没有可靠方式知道设备已被入侵[2]。

Android与供应链：RAT与预装恶意软件

Android面临相似转变，但路径更多是“说服”而非“利用漏洞”。廉价、即用型RAT以恶意软件即服务形式出售：HyperRat在俄语犯罪论坛出售，提供VNC实时屏幕控制、通话短信窃取和从受害者手机群发钓鱼；Cellik约150美元/月，把载荷包进真实Google Play应用并实时串流屏幕、拦截含一次性验证码的通知；ZeroDayRAT在Telegram公开叫卖；Oblivion RAT约300美元/月起，用假Play更新页诱导开启Accessibility，并按银行、加密、政府应用排序受害者；Octagon约1400美元/月，拦截短信验证码、捕获PIN/密码/解锁图案并覆盖银行和加密应用登录页，测试中未被Google Play Protect发现[2]。这些RAT共同依赖Accessibility Service滥用：通过短信钓鱼、Telegram或假更新页诱导侧载并授权，随后读取屏幕、代点、覆盖登录页、截取验证码。由于没有利用漏洞，就没有补丁可打；iVerify 2026遥测中，Play Protect在其信号发现恶意应用的Android设备上仅标记不到一半[2]。企业Android设备中，22%允许侧载、21%过去6个月实际侧载、60%安全补丁超过90天、15%超过一年、68%未运行最新版本[2]。供应链同样承压：2026年10月Bitdefender记录Midnight Mimosa恶意软件预装在部分低价MediaTek手机固件中，运行于“数千台独特设备”、覆盖150多个国家，作为受信任系统应用从首次开机运行，从伪装成天气API的服务器获取插件、静默安装应用并在每次安装时短暂禁用Play Store，用于广告欺诈和住宅代理；Bitdefender无法确定供应链植入点，设备采购因此成为安全决策[2]。

未来与防御：AI加速与三条旧假设失效

AI正在降低移动利用门槛并加速漏洞发现。截至2026年9月28日，Apple iOS/iPadOS更新修复485个唯一CVE，而2025年同期为243个；iOS 27单独修复145个漏洞；iOS 27.2包含163项安全修复，为历史最多[2]。AI辅助研究是重要驱动，Apple安全说明已开始致谢AI工具；2026年6月Apple限制单一研究者的未决报告数量，理由包括AI生成提交激增[2]。但AI并非万能：iVerify测试了网上声称可感染iOS 26.5的DarkSword变体样本，针对iOS 26.0及以后设备均未成功；关键文件与iOS 18.7文件字节相同，无法在新版iOS运行。P7则显示熟练操作者借助AI可提速，但所检样本中AI尚未独立产出针对当前iOS的可用利用链[2]。

报告认为，企业移动安全长期依赖的三条假设均已失效：高级攻击罕见且只针对少数高价值者；平台保护与应用审核足以保护其他人；出事后调查总能发现问题。2026年的数据显示，攻击者通过广告、被入侵网站和一个App Store应用触达普通员工；泄露的iOS工具包让未打补丁设备持续暴露；Android租用型木马无需漏洞即可得手；证据消失速度快于调查速度[2]。报告建议：为大规模犯罪活动而非仅定向攻击做准备；把移动安全覆盖扩展到普通员工；强制iOS/Android更新并限制Android侧载；在设备上持续检测而非依赖事后取证；实时或在数小时内收集遥测；将受感染工作手机视为凭据泄露并轮换所有凭据；从可信渠道采购设备[2]。未来观察点包括：AI辅助改编泄露利用代码能否产出针对当前iOS的可用链；广告与Web供应链投递如何演变；Android木马市场是否继续降低价格和技能门槛；供应链预装设备如何进入组织[2]。

正如报告所言：“对安全团队而言，实际问题已经转变。问题不再是员工手机会否被针对，而是当它被针对时，是否有人处于能够看见的位置。”[2]

参考文献

[1] Smalley, Suzanne. “Cybercriminals are increasingly infecting regular people with spyware.”The Record, November 10, 2026.https://therecord.media/spyware-cyber-crime-iverify.