LightSpy-Spionageplattform auf 13 Länder ausgeweitet: KFC-Bestellung entlarvt chinesischen Auftragnehmer

Am 5. und 6. August 2026 präsentierten die Bedrohungsforscher Dmitry Bestuzhev und Dmitry Melikov von Arctic Wolf auf der Black Hat 2026 neue Erkenntnisse über LightSpy, eine mit China in Verbindung stehende Spionageplattform, die eine dramatische Wandlung durchgemacht hat .

Vom Ziel in Festlandchina zur globalen Bedrohung

LightSpy wurde erstmals 2018 entdeckt und konzentrierte sich zunächst auf Ziele innerhalb Festlandchinas. Die Forschung von Arctic Wolf zeigt nun, dass sich die Spyware auf Opfer in mindestens 13 Ländern ausgeweitet hat, darunter die Vereinigten Staaten und mehrere europäische Staaten. Einige der betroffenen Opfer stehen im Zusammenhang mit NATO-Mitgliedstaaten .

Verwandlung in eine kommerzielle Spionageplattform

LightSpy hat seine ursprüngliche Identität als staatlich unterstütztes Spionagetool abgelegt und sich in eine vollwertige kommerzielle Überwachungsplattform verwandelt. Die Forscher fanden heraus, dass die Plattform nun über eigenes Branding, Preisstufen, eine Abrechnungsinfrastruktur und sogar eine Demoumgebung für potenzielle Käufer verfügt . Vermarktet wird die Plattform an Regierungen, Unternehmen und militärische Kunden .

Modulare, plattformübergreifende Architektur

Die Spyware nutzt ein modulares Framework, das die Kompromittierung einer Vielzahl von Geräten ermöglicht:

• Smartphones (iOS und Android)
• Apple-Geräte (macOS)
• Linux-Server
• Windows-PCs
• Netzwerkrouter – ein neuer Angriffsvektor, der zuvor nicht beobachtet wurde; darunter auch Router in NATO-Mitgliedstaaten

Durch die Infektion von Routern erhalten die Betreiber Einblick in ganze Netzwerke und nicht nur in einzelne Geräte .

Umfangreiche Datendiebstahl- und Zerstörungsfähigkeiten

LightSpy-Module können stehlen:

• Gerätestandorte
• Chat-Nachrichten
• Bildschirmaufnahmen
• Passwörter
• Tonaufnahmen und Kameraübertragungen

Die Plattform verfügt zudem über eine Funktion zur Fernlöschung von Geräten, mit der Betreiber kompromittierte Geräte aus der Ferne unbrauchbar machen („bricken“) können .

Globale Infrastruktur: 117 Server

Arctic Wolf identifizierte mindestens 117 Server, die den LightSpy-Betrieb weltweit unterstützen .

Die Enttarnung durch eine KFC-Bestellung

Der auffälligste operative Sicherheitsfehler ereignete sich, als ein LightSpy-Betreiber über das Administrationspanel der Spyware eine Kentucky-Fried-Chicken-(KFC)-Bestellung aufgab – und dabei seinen echten Namen und seine Büroadresse verwendete . Dieser Fehler ermöglichte es den Forschern, die Operation einem bestimmten chinesischen Auftragnehmer zuzuordnen .

Arctic Wolf stellte fest, dass die KFC-Bestellung über die eigene Abrechnungsinfrastruktur der Spyware aufgegeben wurde, was eine digitale Spur hinterließ, die den Betreiber direkt mit der schädlichen Aktivität verband .

Auswirkungen

Die Kommerzialisierung von LightSpy – einschließlich abgestufter Preisgestaltung und eines SaaS-ähnlichen Geschäftsmodells – deutet darauf hin, dass staatlich unterstützte Überwachungstools zunehmend als Standardprodukte für Regierungen und Militärs weltweit angeboten werden. Die Fähigkeit, Router zu infizieren, verschärft das Risiko für die nationale Sicherheit weiter, da kompromittierte Router ganze Regierungs- und Militärnetzwerke offenlegen können .