继垃圾广告之后，iMessage 成为远程恶意代码入侵的窗口

相信很多使用 iPhone 的朋友们一定有过这样的经历：经常收到一些垃圾信息，而且内容几乎都是关于“澳门赌场”。这些广告的发送号码都不一样且都以 iMessage 发送，手动单独屏蔽电话号码可能无济于事。

除了让人头疼的 iMessage 广告以外，现在它又变成了远程攻击的窗口。许多人对手机安全隐患的理解还很单纯。我们总觉得，只要不点击可疑链接，不下载钓鱼软件，提高警惕性就万事大吉了。但人生总是防不胜防，哪怕你用的是 iPhone 也一样：现在不法分子只用给你的 iMessage 发一条消息，就能黑进你的手机了。

无交互漏洞

上周三在拉斯维加斯的黑帽安全大会上，谷歌公司 Project Zero 项目研究员展示了一系列 “无交互漏洞”。利用 iMessage 中一系列的 “无交互漏洞”，不法分子能通过它们远程执行恶意代码，读取用户数据。其中一个漏洞尤为奇特，攻击者发送一条特制的信息给目标用户，iMessage 服务器就会发回特定数据，比如用户的短信或是图片等。这种攻击过于强悍，甚至不需要用户打开 iMessage 就能实现。iOS 虽然有防止类似攻击的保护措施，但是由于这个漏洞利用了系统的底层逻辑，能够骗过 iOS 的层层防护 。

最佳解决办法：升级

一个不经用户操作就能泄漏信息的漏洞，毫无疑问是价值连城的。iOS 上的 “无交互漏洞” 一经发布，就在黑市上备受瞩目。据媒体报道，类似于谷歌此次公布的这些漏洞，每条的价格可能超过 100 万美元，这些漏洞信息的总价值甚至可能高达 1000 万美元。 

开发者指出，这类漏洞几乎是无处不在的。在过去的一年里，他在 WhatsApp，FaceTime 和视频会议协议 webRTC 中都发现了类似的问题。

如何才能让自己免受 “无交互攻击” 的侵扰呢？答案是尽快更新手机操作系统和应用程序。苹果公司在最近发布的 iOS 12.4 和 Mac OS 10.14.6 中修复了纳塔利提出的 6 个 iMessage 漏洞。针对 “无交互漏洞” 的攻击一旦发生，恶意消息和呼叫会疯狂涌入，用户毫无还手之力。

不过话说回来，如果直接停用 iMessage 功能，这些攻击又能奈我何？玩笑归玩笑，安全最重要。