Techcrunch
Security researchers say exploits used by governments to hack into Apple iPhones have been found used by cybercriminals. They warned of an emerging market for "second hand" exploits.
AI 生成摘要
安全研究人員表示，原本由政府用於入侵 Apple iPhone 的漏洞利用工具已被發現遭網路犯罪分子使用。他們警告，目前正出現一個二手漏洞利用工具的市場。
安全研究人員發現了一套強大的駭客工具，能夠入侵執行舊版軟體的 Apple iPhone。他們表示，這套工具已從政府客戶手中流向網路罪犯。
Google 週二表示，其於 2025 年 2 月首次發現了這個名為 Coruna 的漏洞利用套件，當時一家監控廠商正代表政府客戶，試圖利用間諜軟體入侵某人的手機。幾個月後，Google 發現俄羅斯間諜組織在針對烏克蘭使用者的大規模行動中使用了同一個套件，隨後又發現一名受利益驅使的中國駭客也使用了該工具。
目前尚不清楚這些工具是如何洩露或擴散的，但 Google 安全研究人員警告，「二手」漏洞利用市場正在興起，這些漏洞被賣給受金錢驅使的駭客，以從中榨取更多價值。
這項發現也展示了設計給政府使用的漏洞和後門如何發生洩漏，並最終被網路罪犯或其他非國家行為者濫用。獲取並對該駭客工具進行逆向工程的行動安全公司 iVerify 在部落格文章中表示，根據與先前歸屬於美國的駭客工具之相似性，他們將 Coruna 漏洞利用套件與美國政府聯繫起來。
iVerify 表示：「使用越廣泛，洩漏發生的可能性就越高。雖然 iVerify 有一些證據顯示該工具是洩漏的美國政府框架，但這不應掩蓋一個事實，即這些工具終將流向民間，並被不法分子肆無忌憚地利用。」
Google 指出，這些駭客工具非常強大，因為它們僅透過訪問包含漏洞代碼的惡意網站（例如被傳送惡意連結）就能繞過 iPhone 的防禦，這被稱為「水坑式」攻擊。根據 Google 的說法，Coruna 套件在其數位武器庫中依賴並串聯了 23 個獨立漏洞，可以透過五種不同方式入侵 iPhone。受影響的設備範圍涵蓋執行 iOS 13 到 17.2.1（2023 年 12 月發布）版本的 iPhone 型號。
根據最早報導此消息的《連線》（Wired）雜誌，Coruna 套件包含先前曾用於名為「三角測量行動」（Operation Triangulation）駭客活動的組件。俄羅斯網路安全公司卡巴斯基（Kaspersky）曾在 2023 年聲稱，美國政府試圖入侵其員工的多部 iPhone。
雖然駭客工具洩漏的情況罕見，但並非聞所未聞。2017 年，美國國家安全局（NSA）發現其開發用於入侵全球 Windows 電腦的工具遭竊。該 Windows 後門被稱為「永恆之藍」（EternalBlue），隨後被公開並被網路罪犯用於後續攻擊，包括 2017 年由北韓發動的 WannaCry 勒索軟體攻擊。
TechCrunch 最近也報導了 Peter Williams 的案例，他是美國國防承包商 L3Harris Trenchant 的前負責人。他在承認竊取並向一名已知與俄羅斯政府合作的中間人出售八個漏洞後，被判處七年多監禁。
根據檢察官的說法，Williams 出售的漏洞能夠入侵全球「數百萬台電腦和設備」。至少有一個漏洞被轉售給了一名南韓中間人。目前尚不清楚這些漏洞是否曾向軟體製造商披露或已修補。
主題
安全編輯
Zack Whittaker 是 TechCrunch 的安全編輯。他也是每週網路安全通訊《this week in security》的作者。
您可以透過 Signal 加密訊息 zackwhittaker.1337 與他聯繫。您也可以透過電子郵件聯繫他，或發送至 zack.whittaker@techcrunch.com 以驗證外聯資訊。
正在積極擴張？正在募資？正在規劃下一次發布？2026 年 TechCrunch 創辦人峰會提供實戰指南，並讓您直接接觸 1,000 多名正在建立、支持和完成交易的創辦人與投資者。請在 3 月 13 日前註冊，最高可省 300 美元。
在與國防部達成協議後，ChatGPT 卸載量激增 295%
MyFitnessPal 收購了 Cal AI，這是一款由青少年開發的爆紅卡路里應用程式
Anthropic 的 Claude 報告大規模服務中斷
Anthropic 為自己設下的陷阱
為什麼 Netflix 放棄了收購華納兄弟的交易？
Jack Dorsey 剛將 Block 的員工規模減半 —— 他說你的公司就是下一個
一名會計師因押注反對 DOGE 而在 Kalshi 上贏得大獎