LightSpy-vakoiluohjelma leviää 13 maahan – Kananpoikatilaus paljasti kiinalaisen urakoitsijan

Elokuun 5.–6. päivänä 2026 Black Hat -tietoturvakonferenssissa Arctic Wolfin uhkatiedustelun tutkijat Dmitry Bestuzhev ja Dmitry Melikov esittelivät uusia löydöksiä LightSpystä, Kiinaan yhdistetystä vakoiluohjelma-alustasta, joka on kokenut dramaattisen muodonmuutoksen .

Manner-Kiinasta maailmanlaajuiseksi uhaksi

LightSpy havaittiin ensimmäisen kerran vuonna 2018, ja se keskittyi aiemmin kohteisiin Manner-Kiinassa. Arctic Wolfin tutkimus osoittaa, että se on nyt levinnyt uhreihin ainakin 13 maassa, mukaan lukien Yhdysvallat ja useat Euroopan maat, ja joidenkin uhrien on havaittu liittyvän NATO-jäsenvaltioihin .

Kehittyminen kaupalliseksi valvonta-alustaksi

LightSpy on luopunut alkuperäisestä identiteetistään valtion tukemana vakoilutyökaluna ja muuttunut täysimittaiseksi kaupalliseksi valvonta-alustaksi. Tutkijat havaitsivat, että siinä on nyt omat brändäykset, hinnoittelutasot, laskutusinfrastruktuuri ja jopa demoympäristö mahdollisille ostajille . Alustaa markkinoidaan hallituksille, yrityksille ja sotilastahoille .

Modulaarinen, alustariippumaton arkkitehtuuri

Vakoiluohjelma käyttää modulaarista runkoa, jonka avulla se voi vaarantaa monenlaisia laitteita:

• Älypuhelimet (iOS ja Android)
• Apple-laitteet (macOS)
• Linux-palvelimet
• Windows-tietokoneet
• Verkkoreitittimet – täysin uusi hyökkäysvektori, jota ei ole aiemmin havaittu, mukaan lukien reitittimet, jotka liittyvät NATO-jäsenmaihin

Tartuttamalla reitittimiä operaattorit saavat näkyvyyden kokonaisiin verkkoihin yksittäisten laitteiden sijaan .

Laajat tietojen varastamis- ja tuhoamisominaisuudet

LightSpy-moduulit voivat varastaa:

• Laitteen sijainnin
• Keskusteluviestit
• Näyttötallenteet
• Salasanat
• Äänitallenteet ja kamerakuvat

Alusta sisältää myös etälaitteen tuhoamistoiminnon, jonka avulla operaattorit voivat etänä "tuhota" vaarantuneet laitteet .

Maailmanlaajuinen infrastruktuuri: 117 palvelinta

Arctic Wolf tunnisti vähintään 117 palvelinta, jotka tukevat LightSpy-operaatiota maailmanlaajuisesti .

Kiinalaiseen urakoitsijaan jäljittäminen KFC-tilauksen kautta

Kaikista silmiinpistävin operatiivisen turvallisuuden epäonnistuminen tapahtui, kun LightSpy-operaattori käytti vakoiluohjelman omaa hallintapaneelia tehdäkseen Kentucky Fried Chicken (KFC) -toimitustilauksen käyttäen oikeaa nimeään ja toimisto-osoitettaan . Tämä virhe mahdollisti tutkijoiden jäljittää operaation tiettyyn kiinalaiseen urakoitsijaan .

Arctic Wolf totesi, että KFC-tilaus tehtiin vakoiluohjelman oman laskutusinfrastruktuurin kautta, jättäen digitaalisen jalanjäljen, joka yhdisti operaattorin suoraan haitalliseen toimintaan .

Seuraukset

LightSpyn kaupallistaminen – mukaan lukien porrastettu hinnoittelu ja SaaS-tyyppinen liiketoimintamalli – viittaa siihen, että valtioihin liittyviä valvontatyökaluja tarjotaan yhä enemmän valmisohjelmistoina hallituksille ja armeijoille ympäri maailman. Kyky tartuttaa reitittimiä lisää entisestään kansallisen turvallisuuden riskiä, sillä vaarantuneet reitittimet voivat paljastaa kokonaisia hallitusten ja armeijoiden verkkoja .