這是一場旨在利用iOS后門感染香港用戶的運動，該iOS后門被命名為lightSpy，可使攻擊者接管設(shè)備。

2月19日，安全研究人員發(fā)現(xiàn)了一個針對iOS用戶的水坑攻擊。其URL指向一個惡意網(wǎng)站，該網(wǎng)站具有指向不同站點的三個iframe。其中一個iframe可見，并指向合法的新聞網(wǎng)站，另一個iframe用于網(wǎng)站分析，而第三個則指向托管iOS漏洞利用主要腳本的網(wǎng)站。

帶有三個iframe的惡意網(wǎng)站的HTML代碼

攻擊者通過在香港流行的論壇上發(fā)布誘餌式的頭條新聞以傳播惡意鏈接，這些鏈接會將用戶引導(dǎo)到真實的新聞網(wǎng)站，但這些網(wǎng)站因為被注入了隱藏的iframe，用戶訪問后會加載并運行惡意軟件。

此外，還發(fā)現(xiàn)了第二種水坑攻擊：復(fù)制合法站點并注入iframe。該攻擊似乎已于1月2日開始，持續(xù)到3月20日。但目前無法確定到這些網(wǎng)站的鏈接的分發(fā)位置。

這些攻擊利用了影響iOS 12.1和12.2設(shè)備的安全漏洞，以整個網(wǎng)站的用戶為目標(biāo)。通過支持外殼命令和文件操作，惡意軟件使攻擊者可以監(jiān)視用戶并完全控制受感染的設(shè)備。本質(zhì)上是模塊化的lightSpy允許對連接的WiFi歷史記錄、聯(lián)系人、GPS位置、硬件信、iOS鑰匙串、電話歷史記錄、Safari和Chrome瀏覽器歷史記錄、SMS消息以及本地網(wǎng)絡(luò)IP地址進行過濾。

此外，該惡意軟件專門針對Messenger應(yīng)用程序，例如Telegram，QQ和微信。2019年，就有過針對Android用戶的類似攻擊，并通過與香港相關(guān)的公共電報渠道發(fā)布了惡意APK，名為dmsSpy的Android惡意軟件會泄露設(shè)備信息、聯(lián)系人和SMS消息。

這些攻擊行動的設(shè)計和功能表明，該活動并非針對受害者，而是旨在更多地利用移動設(shè)備進行后門和監(jiān)視。根據(jù)其分發(fā)方式將此活動命名為“中毒新聞行動”(Operation Poisoned News)。

參考：Operation Poisoned News: Hong Kong Users Targeted With Mobile Malware via Local News Links