KingsPawn 间谍软件：隐藏在日历中的无声威胁
可用语言
你可能听说过 Pegasus（飞马）间谍软件。但还有另一款商业间谍工具同样值得关注——它已经在暗中运作多年。KingsPawn 与以色列监控公司 QuaDream Systems 有关，代表了一种新型的雇佣间谍软件，能够在你完全没有点击任何链接的情况下入侵你的 iPhone。
什么是 KingsPawn？
KingsPawn 是由 QuaDream 开发的先进间谍软件平台，该公司由以色列情报机构的前成员创立。与更为人知的 Pegasus（由 NSO Group 开发）类似，KingsPawn 被归类为雇佣间谍软件——以执法和国家安全为名义，向政府客户商业出售。
然而，Citizen Lab 和微软威胁情报等机构的调查揭示，KingsPawn 的部署目标远远超出了犯罪嫌疑人的范围：
- 调查政府腐败的记者
- 非政府组织工作者和人权捍卫者
- 多个国家的政治反对派人物
- 与犯罪活动毫无关联的公民社会成员
已在中亚、东南亚、中东、欧洲和北美发现感染案例，表明这是一次真正的全球性部署。
KingsPawn 不是假设性威胁。研究人员已确认，在仅因政治活动或职业工作而成为目标的人的设备上发现了真实的感染案例。
KingsPawn 如何感染你的设备
KingsPawn 最危险之处在于其零点击投递方式。传统恶意软件需要你点击恶意链接、下载可疑文件或安装被篡改的应用。KingsPawn 完全不需要这些。
隐形日历攻击
KingsPawn 利用 Apple 的 iCloud 日历同步功能，采用了一种极其巧妙的技术：
- 攻击者向目标发送一个隐形的 iCloud 日历邀请
- 该邀请包含触发代码执行的恶意载荷
- 由于 iCloud 日历自动同步，载荷无需任何通知或用户操作即可投递
- 邀请被设定为过去的日期，因此永远不会显示为即将到来的事件
- 利用完成后，日历条目会自动删除以掩盖痕迹
| 攻击阶段 | 发生了什么 | 用户感知 |
|---|---|---|
| 投递 | 发送隐形日历邀请 | 无 |
| 利用 | 同步时恶意代码执行 | 无 |
| 安装 | 间谍软件植入完成 | 无 |
| 清理 | 日历条目自动删除 | 无 |
这是真正意义上的零点击漏洞利用——受害者完全不需要做任何事情，甚至可能永远不知道自己已被入侵。
KingsPawn 能访问什么
一旦安装到 iOS 设备上，KingsPawn 为攻击者提供广泛的监控能力：
- iCloud 账户数据 — 电子邮件、联系人、备份和云端存储的文档
- iOS Keychain 凭证 — 保存的 Wi-Fi 网络密码、VPN 配置、邮箱账户和通讯服务的密码
- 实时位置追踪 — 持续的 GPS 监控
- 设备元数据 — SIM 卡详细信息、电池状态、连接的网络
- 个人文件 — 照片、文档和下载的内容
- 通信记录 — 通话历史和消息记录
为什么 Keychain 访问权限尤为危险
iOS Keychain 存储着你最敏感的凭证。如果 KingsPawn 提取了你的 Keychain，攻击者将获得：
- VPN 凭证 — 可能绕过你的加密隧道
- 邮箱密码 — 实现收件箱监控和账户接管
- Wi-Fi 密码 — 映射你的网络基础设施
- 应用令牌 — 无需密码即可访问各种服务
谁面临风险？
虽然 KingsPawn 主要针对高知名度个人——记者、活动人士和政治人物——但其更广泛的影响涉及每个人：
- 这项技术确实存在，并且对有足够预算的政府来说可以商业购买
- 监管极为有限 — 目前没有管控间谍软件销售的国际监管框架
- 目标名单在扩大 — 最初作为"反恐"工具的东西不可避免地会被用于更广泛的人群
- 漏洞是普遍的 — KingsPawn 使用的零点击漏洞影响所有运行易受攻击 iOS 版本的 iPhone
如何保护自己
没有单一措施能提供完全的防护来抵御国家级间谍软件，但叠加多层防御措施可以显著提高攻击者的入侵门槛。
1. 始终保持软件更新
Apple 定期修补间谍软件利用的漏洞。在所有设备上启用自动更新：
- 前往 设置 > 通用 > 软件更新 > 自动更新
- 开启所有更新选项，包括安全响应
2. 启用锁定模式（高风险用户）
Apple 专门为对抗雇佣间谍软件推出了锁定模式。启用后，它会：
- 阻止大多数消息附件类型
- 禁用"信息"应用中的链接预览
- 阻止来自未知联系人的 FaceTime 来电
- 限制可能被利用的网页浏览功能
- 阻止配置描述文件的安装
锁定模式大幅减少了设备的攻击面。如果你是记者、活动人士或在敏感领域工作，请立即启用它。
3. 定期检查你的日历
由于 KingsPawn 使用日历邀请作为攻击载体：
- 检查你的日历应用中是否有你未创建的事件
- 查看过去日期中是否有不熟悉的条目
- 删除任何可疑的日历订阅
4. 加强账户安全
- 在你的 Apple ID 和所有主要账户上启用双重身份验证
- 在支持的地方使用硬件安全密钥（如 YubiKey）
- 使用密码管理器为每个服务生成唯一密码
5. 使用可信赖的 VPN
VPN 无法移除已经安装在设备上的间谍软件。但它提供了重要的防护层：
- 加密你的互联网流量 — 防止在公共或被入侵的网络上进行被动监控
- 隐藏你的 IP 地址 — 使得在互联网上对你进行画像和追踪变得更加困难
- 阻止恶意域名 — Mosaic VPN 的威胁防护功能会阻止与已知间谍软件命令和控制服务器的连接
- 防止 DNS 泄漏 — 确保你的浏览查询在连接切换期间也保持私密
使用 Mosaic VPN 的 Kill Switch 功能可以确保，如果 VPN 连接短暂中断，你的流量永远不会暴露在开放网络中。
KingsPawn 与 Pegasus 对比
| 特征 | KingsPawn (QuaDream) | Pegasus (NSO Group) |
|---|---|---|
| 开发者 | QuaDream Systems | NSO Group |
| 来源国 | 以色列 | 以色列 |
| 攻击方法 | 零点击（iCloud 日历） | 零点击（iMessage、WhatsApp） |
| 主要目标 | iOS 设备 | iOS 和 Android |
| 已知客户 | 政府机构 | 政府机构 |
| 公开曝光 | 2023年（Citizen Lab/微软） | 2016年至今 |
| 公司状态 | 据报已关闭（2023年） | 仍在运营 |
更大的图景
KingsPawn 提醒我们，尽管公众强烈抗议且政府行动有限，商业间谍软件行业仍在持续增长。QuaDream 可能已经关闭，但工程师、漏洞利用技术和商业模式依然存在。前员工转移到新公司，循环继续。
你能做什么：
- 随时了解新出现的间谍软件威胁
- 保持严格的设备安全习惯
- 使用加密通信和可靠的 VPN
- 支持 Citizen Lab 和 EFF 等调查和揭露监控滥用的组织
你的数字隐私并非理所当然——它需要主动防御。从以上步骤开始，让安全成为一种习惯，而非事后的补救。
文章标签