WhatsApp 曝出安全漏洞，一通呼叫就能导致手机被黑

WhatsApp 刚刚修复了一个漏洞，该漏洞允许恶意攻击者在受影响的手机上远程安装间谍软件。据报道，数量未知的攻击者已经利用该漏洞在受害人的手机上安装了一款商业级的间谍软件，而这款软件通常被销售给政府机构。

这家隶属于 Facebook 的公司向 TechCrunch 证实，他们在 5 月初发现了这个漏洞（具体信息在 这里 ）。显而易见，该漏洞存在于 WhatsApp 的音频呼叫功能当中，呼叫者可以利用它在被呼叫设备上安装间谍软件，不管对方应答与否。

这里所说的间谍软件是以色列网络情报公司 NSO Group 开发的 Pegasus，该软件通常（以及从表面上看上去）被授权给那些想要入侵受调查对象设备并从中获取各种信息的政府机构使用。

正如你可以想象到的，这是一个非常严重的安全漏洞，我们很难确定漏洞生效的窗口期有多长以及有多少人受到了影响。在不知道漏洞是什么以及 WhatsApp 对相关活动留存了什么数据的情况下，我们能做的只有猜测。

WhatsApp 表示，他们认为只有相对较少的用户受到了影响，因为要对漏洞加以利用是不小的工程，只有那些技术高超、动机强烈的人才会付诸实施。

该公司表示，在收到关于漏洞的警告之后，他们花了不到 10 天时间对基础设施做出了必要的更改，使得攻击无法进行。在那之后，WhatsApp 又对客户端进行了升级，进一步杜绝了漏洞被利用的可能性。

该公司在一份声明中表示：“WhatsApp 鼓励人们将应用升级到最新版本，并将移送设备的操作系统升级到最新版本，以此防止利用漏洞窃取移动设备信息的潜在攻击。”

那么，NSO Group 是怎么回事呢？这些攻击是出自他们的手笔吗？ 该公司告诉最先披露攻击事件的《金融时报》 ，他们正在调查此事。不过，NSO Group 指出，他们已经非常小心地不参与到自家软件的实际应用活动当中——该公司表示，他们会对客户以及调查活动中的滥用行为进行审查，但没有牵涉到自己的代码被如何使用以及被用来针对谁。

WhatsApp 在其声明中并未提及 NSO，但怀疑之意似乎非常明显：

“这次攻击带有一家私营公司的全部印记，我们知道该公司跟政府存在合作关系，他们提供的间谍软件据称可以接管手机操作系统的功能。”

毫无疑问，当 WhatsApp 这样注重安全的应用发现有一家私营公司正在秘密对自家软件存在的危险漏洞进行利用（或者至少存在那样的可能性），言语中流露出一些敌意是在所难免的。不过，这一切都是零日漏洞游戏的组成部分，是一场安全攻防的军备竞赛。WhatsApp 已经向美国司法部以及 “一些人权组织” 告知了这个问题的存在。

当你遇到这种情况时，正如 WhatsApp 建议的那样，你应该始终将应用升级到最新版本——不过，就这次事件来说，WhatsApp 在给客户端打补丁之前已经在后端修复了问题。

图片来源：Bryce Durbin / TechCrunch

翻译：王灿均（ @何无鱼 ）

WhatsApp exploit let attackers install government-grade spyware on phones