LightSpy-spyware actief in 13 landen: KFC-bestelling leidt naar Chinese contractor

Op 5 en 6 augustus 2026 presenteerden dreigingsinlichtingenonderzoekers Dmitry Bestuzhev en Dmitry Melikov van Arctic Wolf op Black Hat 2026 hun nieuwe bevindingen over LightSpy, een spywareplatform dat gelinkt wordt aan China en een opmerkelijke transformatie heeft ondergaan .

Van vasteland-China naar wereldwijde dreiging

LightSpy werd in 2018 voor het eerst ontdekt en richtte zich aanvankelijk vooral op doelen in China. Uit het onderzoek van Arctic Wolf blijkt dat de spyware inmiddels is uitgebreid naar slachtoffers in minstens 13 landen, waaronder de Verenigde Staten en meerdere Europese landen. Sommige slachtoffers blijken verbonden te zijn met NAVO-lidstaten .

Evolutie naar commercieel spionageplatform

LightSpy heeft zijn oorspronkelijke identiteit als staatsgesteund spionagetool van zich afgeschud en is veranderd in een volledig commercieel surveillanceplatform. Onderzoekers ontdekten dat het nu beschikt over eigen branding, prijsmodellen, facturatie-infrastructuur en zelfs een demo-omgeving voor potentiële kopers . Het platform wordt aangeboden aan overheden, bedrijven en militaire klanten .

Modulaire architectuur voor meerdere platforms

De spyware gebruikt een modulair systeem waarmee het een breed scala aan apparaten kan compromitteren:

• Smartphones (iOS en Android)
• Apple-apparaten (macOS)
• Linux-servers
• Windows-pc's
• Netwerkrouters — een nieuw aanvalsvector die eerder niet was waargenomen, waaronder routers die verbonden zijn met NAVO-lidstaten

Door routers te infecteren krijgen operators zicht op hele netwerken in plaats van alleen individuele apparaten .

Uitgebreide mogelijkheden voor datadiefstal en vernietiging

LightSpy-modules kunnen onder andere stelen:

• Locatiegegevens van apparaten
• Chatberichten
• Schermopnames
• Wachtwoorden
• Geluidsopnames en camerabeelden

Het platform beschikt ook over functies om apparaten op afstand te wissen, waarmee operators gecompromitteerde apparaten volledig onbruikbaar kunnen maken .

Wereldwijde infrastructuur: 117 servers

Arctic Wolf heeft minstens 117 servers geïdentificeerd die de LightSpy-operatie wereldwijd ondersteunen .

Toeschrijving via een KFC-bestelling

De meest opvallende operationele veiligheidsfout deed zich voor toen een LightSpy-operator het eigen beheerpaneel van de spyware gebruikte om een KFC-bestelling te plaatsen met zijn echte naam en kantooradres . Deze fout stelde onderzoekers in staat om de operatie te herleiden naar een specifiek Chinees bedrijf .

Arctic Wolf merkte op dat de KFC-bestelling via de eigen facturatie-infrastructuur van de spyware werd geplaatst, waardoor er een digitaal spoor achterbleef dat de operator direct koppelde aan de kwaadaardige activiteiten .

Implicaties

De commercialisering van LightSpy — met gelaagde prijzen en een SaaS-achtig bedrijfsmodel — wijst erop dat staatsgebonden surveillancetools steeds vaker als standaardproducten worden aangeboden aan overheden en krijgsmachten wereldwijd. De mogelijkheid om routers te infecteren verhoogt het risico voor de nationale veiligheid aanzienlijk, omdat gecompromitteerde routers hele netwerken van overheden en krijgsmachten kunnen blootleggen .