LightSpy атакує 13 країн і вміє стирати дані

Arctic Wolf зафіксувала нову хвилю активності LightSpy у 13 країнах. Шпигунське ПЗ краде дані, заражає роутери й може дистанційно знищувати вміст пристроїв.

Дослідники з безпеки повідомили про нову хвилю активності шпигунського ПЗ LightSpy, яке, за їхніми даними, давно вийшло за межі материкового Китаю. Тепер воно націлене на жертв у 13 країнах, зокрема в Європі та США. Увагу привертає не лише географія атак, а й те, як змінився сам інструмент. За оцінкою Arctic Wolf, LightSpy перетворився на комерційну шпигунську платформу, небезпечну і для окремих користувачів, і для організацій.

LightSpy змінив масштаб і модель роботи

В Arctic Wolf кажуть, що LightSpy уперше виявили ще у 2018 році. Раніше його пов’язували з хакерами, яких підтримує китайська держава. Тепер дослідники вважають, що платформа еволюціонувала і працює як комерційний продукт, яким керує один зловмисник.

За їхніми словами, оператор орієнтується на уряди, підприємства та військових. Платформа нібито має власний брендинг, систему виставлення рахунків і демоверсії для показу потенційним клієнтам.

Саме цей зсув і робить історію помітною. Йдеться вже не лише про класичні державні кібероперації, а про модель, у якій шпигунські інструменти заходять і в приватний сектор.

LightSpy збирає дані зі смартфонів, серверів і ПК

LightSpy — модульна платформа, тобто її можна налаштовувати під різні цілі та типи пристроїв. Дослідники зазначили, що вона здатна атакувати смартфони, пристрої Apple, Linux-сервери та Windows-комп’ютери.

Для кожного типу пристрою використовуються окремі експлойти. Після зараження LightSpy може збирати великі обсяги чутливої інформації: точні дані про місцеперебування, повідомлення в чатах, записи екрана та збережені паролі.

Окремо дослідники попередили, що код здатний дистанційно стирати й знищувати дані на скомпрометованому пристрої. Це вже не тільки приховане стеження, а й прямий ризик втрати доступу до важливої інформації.

Зараження роутерів розширює атаку на всю мережу

Одна з нових деталей, на яку звернули увагу дослідники, — зараження роутерів. За їхніми словами, раніше такого вони не спостерігали.

Це важливо, тому що атака на роутер може дати зловмисникам видимість і доступ до інших пристроїв у тій самій мережі. Тобто під загрозою може опинитися не один комп’ютер чи телефон, а цілий офіс, домашня мережа або інша інфраструктура, підключена через той самий маршрутизатор.

Arctic Wolf також повідомила, що деякі зі скомпрометованих роутерів пов’язані з країнами-членами НАТО. У джерелі не уточнюється, про які саме держави йдеться, але, як повідомляють Новини IT-PUB, сам факт такого зв’язку вказує на чутливість і масштаб кампанії.

117 серверів і зачіпка, що вивела на підрядника

За даними компанії, LightSpy працює через мережу щонайменше з 117 серверів у кількох країнах світу. Це вказує на розгалужену інфраструктуру, яка підтримує роботу платформи та ускладнює її відстеження.

Дослідники також заявили, що змогли пов’язати останню активність із китайським підрядником. До цього їх привів епізод, коли один з операторів шпигунського ПЗ використав панель адміністратора LightSpy, щоб оформити замовлення в Kentucky Fried Chicken, вказавши справжнє ім’я та адресу офісу.

Саме ця деталь дала розслідуванню додатковий слід. Водночас у джерелі йдеться саме про зв’язок, який виявили дослідники, а не про офіційне підтвердження з боку названої особи чи компаній.

Для бізнесу ризик уже не обмежується одним пристроєм

Історія LightSpy важлива не лише через сам факт нової хвилі атак. Для звичайних користувачів це означає ризик втрати приватних даних, паролів і доступу до пристрою. Для компаній — можливі витоки внутрішньої інформації та компрометацію мережевої інфраструктури.

Окрему загрозу створює те, що атаки тепер можуть зачіпати не лише окремі гаджети, а й роутери. У такому разі під ударом опиняється вся мережа, а наслідки можуть бути значно ширшими, ніж у випадку зі зламом одного пристрою.

На цьому тлі LightSpy виглядає вже не як вузький інструмент для окремих операцій, а як платформа з сервісною моделлю, інфраструктурою та потенційними клієнтами. І саме це робить її складнішою ціллю для захисту.