文章总结： 本文详细分析了美国APT组织针对苹果手机的三角测量行动的溯源发现过程。该行动利用至少4个苹果系统0day漏洞，通过iMessage零点击方式植入后门，使用WebGL绘制黄色三角形作为设备指纹。安全团队通过SIEM平台发现异常，制作手机备份，使用MVT工具分析，发现可疑的BackupAgent进程、系统配置文件异常修改和无法安装系统更新等迹象。网络流量分析揭示了攻击的三个阶段，包括与苹果服务器通信、下载恶意附件和连接C2服务器。
综合评分： 85
文章分类： 漏洞分析,应急响应,移动安全,威胁情报,APT分析

第135篇：美国APT的苹果手机”三角测量”行动是如何被溯源发现的

原创

abc123info

希潭实验室

2025年10月23日 14:44
山东

 Part1 前言

大家好，我是ABC_123。最近几天，美国APT实施的苹果手机”三角测量”行动又成为大家关注的话题，引发了大家对于苹果手机、Mac笔记本电脑的安全性问题的广泛讨论。此次行动利用了至少4个苹果系统的0day漏洞，其使用的后门会通过WebGL在粉色背景上绘制一个黄色三角形，利用不同的手机设备在图形上渲染的微小差异来标识不同手机用户，因而被称之为”三角测量”行动。如此隐蔽的”三角测量”行动是如何被发现的呢？接下来ABC_123会连续发表几篇文章，给大家详细讲解一下（文末有技术交流群的加群方式）。

 Part2 技术研究过程

• 三角测量行动命名的来源

经过溯源分析发现，一旦”三角测量”行动攻击成功，攻击者会通过 iMessage 的零点击方式向受害者的 iPhone 植入一个带有后门功能的附件。该后门利用一种名为 Canvas 的浏览器指纹识别技术，通过 WebGL 在粉色背景上绘制一个固定形状的黄色三角形，并通过内置代码读取像素数据、计算其哈希值。攻击者利用不同设备在图形渲染过程中产生的微小差异，将其作为唯一特征，用于识别和追踪各个受害者的设备。

如下是”三角测量”后门所使用的部分代码，展示了一种基于图形渲染结果的设备指纹采集技术：不同的 GPU、驱动、浏览器与操作系统在渲染同一图形时会产生细微的像素差异，进而生成可区分的指纹信息。

context.bufferData(context.ELEMENT_ARRAY_BUFFER, l, context.STATIC_DRAW);context.useProgram(C);context.clearColor(0.5,&nbsp;0.7,&nbsp;0.2,&nbsp;0.25);context.clear(context.COLOR_BUFFER_BIT);context.drawElements(context.TRIANGLES, l.length, context.UNSIGNED_SHORT,&nbsp;0);C.L = context.getAttribLocation(C, Z('VE'));C.W = context.getUniformLocation(C, Z('Zv'));context.enableVertexAttribArray(C.L);context.vertexAttribPointer(C.L,&nbsp;3, context.FLOAT, !1,&nbsp;0,&nbsp;0);context.uniform2f(C.W,&nbsp;1,&nbsp;1);context.drawArrays(context.TRIANGLE_STRIP,&nbsp;0,&nbsp;3);var&nbsp;h = new Uint8Array(262144);context.readPixels(0,&nbsp;0,&nbsp;256,&nbsp;256, context.RGBA, context.UNSIGNED_BYTE, h);data['xT'] = h[88849];data['jHWOO'] = h[95054];data['aRR'] = h[99183];data['ffJEi'] = h[130012];for&nbsp;(var p =&nbsp;0, _ =&nbsp;0; _ < h.length; _++)&nbsp; &nbsp;&nbsp;p&nbsp;+= h[_];data['WjOn'] = p;

• SIEM运营平台发现iPhone手机异常活动

为保障内部员工的手机、平板等移动终端的安全接入，该安全公司专门为此建立了一张独立的企业级 Wi-Fi 网络，用于隔离移动设备与核心业务系统，从而降低安全风险。同时，这一独立网络也便于集中监控和分析移动终端的异常流量。在此基础上，公司构建了 SIEM安全分析与监控系统，对该移动网络进行持续监控与关联分析。通过该平台，安全团队发现数部运行 iOS 系统的苹果手机存在异常活动迹象。

尽管”三角测量”行动的后门程序对系统痕迹进行了大量清理，但在导出设备备份时，异常文件的时间戳仍成为分析突破口，帮助调查人员锁定潜在入侵行为。

• 制作iPhone手机离线备份

在发现存在异常活动的苹果手机后，应首先对目标手机进行完整备份。 备份可通过 iTunes 或命令行工具 idevicebackup2 实现。整个过程可能持续数小时，期间可能需要多次输入设备的解锁密码以授权操作。若使用 idevicebackup2 创建备份，可执行如下命令：命令行中backup 为备份功能；–full 表示执行完整备份；$backup_directory 用于指定备份文件的保存路径。

idevicebackup2 backup --full $backup_directory

实际测试发现，iPhone 生成的备份文件大小并不等同于设备的总存储容量，而是仅包含已被占用的数据部分，因此能够节省备份所需的存储空间。

• 使用 MVT 分析iPhone备份内容

接下来，通过分析备份文件中的系统数据、时间线日志、消息记录及设备配置等内容，可以寻找攻击者遗留的痕迹。为提高效率，可安装并使用 Mobile Verification Toolkit 工具包进行自动化分析。安装完成后，可使用 mvt-ios 或 mvt-android 命令对备份进行检测。MVT 内置了大量已知恶意软件的 IOC（入侵指标），能够帮助快速识别可疑文件、异常通信和潜在的攻击迹象。安装方法如下：

pip install mvt

如果苹果手机所有者之前设置了备份加密（常见情况），备份副本将被加密，MVT无法直接读取分析。在这种情况下，必须先解密备份副本，然后才能运行检查，MVT内部调用 libimobiledevice 库完成解密工作

mvt-ios decrypt-backup -p password -d $decrypted_backup_directory$backup_directory

• 使用MVT解析iPhone备份内容

可在解密后的备份目录上运行以下命令，对 iOS 备份进行全面检测：

mvt-ios check-backup -o $mvt_output_directory $decrypted_backup_directory

或指定 IOC 规则文件执行分析：

mvt-ios check-backup --output /path/to/hasil /path/to/backup/udid/ --iocs pegasus.stix2

该命令将运行 MVT 提供的所有检查项，并在输出目录中生成多个 JSON 和 CSV 格式的结果文件，需要重点关注名为 timeline.csv 的文件。

分析完成后，输出目录中会生成多个 JSON 格式的结果文件，以及一个名为 timeline.csv 的时间线文件。其中，JSON 文件记录了各类检测项的详细结果，而 timeline.csv 文件则汇总了系统事件、文件操作与可疑行为的时间序列信息。

• 发现可疑进程BackupAgent

通过对 timeline.csv 文件的分析发现，BackupAgent 是早期 iOS 系统中用于设备备份的进程，自 iOS 10 起已被弃用并由 BackupAgent2 取代。因此，在正常情况下，当前版本的 iOS 设备中不应再出现 BackupAgent 进程的活动记录。与此同时，日志中还出现了 DataUsage（数据流量记录）条目，并显示该已弃用的 BackupAgent 进程存在网络通信行为，这是一个很明显的异常现象。

timestamp,module,event,details2022-09-13T10:04:11.890351Z,Datausage,IMTransferAgent/com.apple.datausage.messages,"Bundle ID: com.apple.datausage.messages, ID: 127, WIFI IN: 0.0, WIFI OUT: 0.0, WWAN IN: 76281896.0, WWAN OUT: 100956502.0"2022-09-13T10:04:54.000000Z,Manifest,Library/SMS/Attachments/65/05,"MediaDomain"2022-09-13T10:05:14.744570Z,Datausage,BackupAgent,"Bundle ID: (empty), ID: 710, WIFI IN: 0.0, WIFI OUT: 0.0, WWAN IN: 734459.0, WWAN OUT: 287912.0"

“三角测量”行动是通过一条恶意的iMessage推送消息实现的零点击触发的。对其他有异常活动的苹果手机分析发现，在可疑的BackupAgent进程出现之前，系统日志会记录到一个名为IMTransferAgent的进程。该进程负责下载和解析iMessage的附件文件，附件下载并执行后，其内容会暂存在短信附件目录Library/SMS/Attachments中。攻击完成后，恶意文件会被迅速删除，以掩盖痕迹，但删除操作会导致多个附件目录的 时间戳发生变化。

• 发现可疑进程BackupAgent

通过分析 timeline.csv 文件发现，还发现一些可疑的行为：一些系统关键配置文件（如 com.apple.ImageIO.plist、com.apple.locationd.StatusBarIconManager.plist 和 com.apple.imservice.ids.FaceTime.plist）在短时间内被修改或更新时间戳。上述文件分别用于管理图像处理、定位服务和 FaceTime 通信等核心功能，通常不会在几分钟内频繁变动。

如下日志所示，在短短 1–2 分钟内，该 iPhone 出现了一系列异常的 iMessage 数据活动及系统文件改动。在 iMessage 零点击漏洞触发并执行恶意代码后，16:35:24 的 DataUsage 模块日志记录显示，iMessage 后台进程通过蜂窝网络产生了大量数据收发，疑似正在下载携带攻击载荷的恶意附件；随后在 16:36:51，多个系统关键配置文件（如 ImageIO 等）的时间戳被同时修改，这一异常文件改动与前述可疑网络通信几乎同时发生，疑似攻击行为所导致。

2021-10-30 16:35:24.923368Z Datausage IMTransferAgent/com.apple.MobileSMS (Bundle ID: com.apple.MobileSMS, ID: 945) WIFI IN: 0.0, WIFI OUT: 0.0 - WWAN IN: 31933.0, WWAN OUT: 104150.02021-10-30 16:35:24.928030Z Datausage IMTransferAgent/com.apple.MobileSMS (Bundle ID: com.apple.MobileSMS, ID: 945)2021-10-30 16:35:24.935920Z Datausage IMTransferAgent/com.apple.datausage.messages (Bundle ID: com.apple.datausage.messages, ID: 946) WIFI IN: 0.0, WIFI OUT: 0.0 - WWAN IN: 47743.0, WWAN OUT: 6502.02021-10-30 16:35:24.937976Z Datausage IMTransferAgent/com.apple.datausage.messages (Bundle ID: com.apple.datausage.messages, ID: 946)2021-10-30 16:36:51.000000Z Manifest Library/Preferences/com.apple.locationd.StatusBarIconManager.plist - HomeDomain2021-10-30 16:36:51.000000Z Manifest Library/Preferences/com.apple.ImageIO.plist - RootDomain

如下日志所示，iPhone手机的消息附件目录 iMessage/SMS 出现了被修改或写入的痕迹，但日志未记录具体的文件名。紧接着，系统中与浏览器引擎相关的进程 com.apple.WebKit.WebContent 产生了大量网络通信活动；随后，StatusBarIconManager.plist 等系统配置文件被改动，该文件与设备的定位服务及状态栏显示有关。上述事件在 1 至 3 分钟内相继发生，这一连续的时间关联和行为模式暗示该苹果手机可能遭遇了一次成功的 “零点击”攻击利用。

2022-09-11 19:52:56.000000Z Manifest Library/SMS/Attachments/98 - MediaDomain2022-09-11 19:52:56.000000Z Manifest Library/SMS/Attachments/98/08 - MediaDomain2022-09-11 19:53:10.000000Z Manifest Library/SMS/Attachments/98/08 - MediaDomain2022-09-11 19:54:51.698609Z OSAnalyticsADDaily com.apple.WebKit.WebContent WIFI IN: 77234150.0, WIFI OUT: 747603971.0 - WWAN IN: 55385088.0, WWAN OUT: 425312575.02022-09-11 19:54:51.702269Z Datausage com.apple.WebKit.WebContent (Bundle ID: , ID: 1125)2022-09-11 19:54:53.000000Z Manifest Library/Preferences/com.apple.locationd.StatusBarIconManager.plist - HomeDomain2022-06-26 18:21:36.000000Z Manifest Library/SMS/Attachments/ad/13 - MediaDomain2022-06-26 18:21:36.000000Z Manifest Library/SMS/Attachments/ad - MediaDomain2022-06-26 18:21:50.000000Z Manifest Library/SMS/Attachments/ad/13 - MediaDomain2022-06-26 18:22:03.412817Z OSAnalyticsADDaily com.apple.WebKit.WebContent WIFI IN: 19488889.0, WIFI OUT: 406382282.0 - WWAN IN: 66954930.0, WWAN OUT: 1521212526.02022-06-26 18:22:16.000000Z Manifest Library/Preferences/com.apple.ImageIO.plist - RootDomain2022-06-26 18:22:16.000000Z Manifest Library/Preferences/com.apple.locationd.StatusBarIconManager.plist - HomeDomain2022-03-21 21:37:55.000000Z Manifest Library/SMS/Attachments/fc - MediaDomain2022-03-21 21:37:55.000000Z Manifest Library/SMS/Attachments/fc/12 - MediaDomain2022-03-21 21:38:08.000000Z Manifest Library/SMS/Attachments/fc/12 - MediaDomain2022-03-21 21:38:23.901243Z OSAnalyticsADDaily com.apple.WebKit.WebContent WIFI IN: 551604.0, WIFI OUT: 6054253.0 - WWAN IN: 0.0, WWAN OUT: 0.02022-03-21 21:38:24.000000Z Manifest Library/Preferences/com.apple.locationd.StatusBarIconManager.plist - HomeDomain

• 手机iOS无法安装更新

一个最直观的异常现象是iPhone手机无法正常安装系统更新。这是因为”三角测量”行动的恶意附件会主动阻止 iOS 系统升级，其内置的后门程序会篡改系统关键设置文件 com.apple.softwareupdateservicesd.plist，从而干扰更新进程。受影响的设备在尝试安装系统更新时，会反复出现提示：“软件更新失败，下载 iOS 时发生错误”。

• 苹果手机流量抓包分析

安全工程师抓取的”三角测量”行动网络流量数据包显示，后门植入过程大致可分为三个阶段：

1.  设备与苹果的 iMessage 服务进行正常通信，其中 *.ess.apple.com 域名属于苹果公司合法域名；

2.  设备从 icloud-content.com 或 content.icloud.com 下载一个 iMessage 附件，而恶意代码正隐藏在该附件中；

3.  当附件下载完成后，设备随即开始与backuprabbit.com、cloudspncer.com等陌生服务器建立连接，这些服务器已不再属于苹果公司，均被确认是攻击者的指挥与控制（C2）节点，标志着入侵阶段的完成与远程控制的开始。

如下所示，iMessage 附件以加密形式通过 HTTPS 渠道传输，外部无法直接查看其内容。唯一可观察到的特征是下载的数据量约为 242 KB，这一流量特征成为识别可疑附件下载行为的隐含指标。

 Part3 总结

1.  与 SolarWinds 供应链攻击被溯源的思路类似，”三角测量”行动的发现同样基于对异常业务行为与异常网络流量的深入分析与关联判断。

2.  本文是”三角测量”行动系列的第一篇，更多技术细节与分析过程将在后续文章中逐步分享，敬请期待。

3.  为了便于技术交流，现已建立微信群”希水涵-信安技术交流群”，欢迎您的加入。

公众号专注于网络安全技术分享，包括APT事件分析、红队攻防、蓝队分析、渗透测试、代码审计等，每周一篇，99%原创，敬请关注。

Contact me: 0day123abc#gmail.com

OR 2332887682#qq.com

(replace # with @)

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：希潭实验室 abc123info《第135篇：美国APT的苹果手机”三角测量”行动是如何被溯源发现的》