LightSpy-spionprogramvare utvides til 13 land: En KFC-bestilling avslørte den kinesiske leverandøren bak den kommersielle spionasjeplattformen

På Black Hat 2026, 5.–6. august, presenterte Arctic Wolfs trusseletterforskningsledere Dmitry Bestuzhev og Dmitry Melikov nye funn om LightSpy, en spionprogramvareplattform knyttet til Kina, som har gjennomgått en dramatisk transformasjon .

Fra Fastlands-Kina til en global trussel

LightSpy ble først oppdaget i 2018 og var tidligere konsentrert om mål i Fastlands-Kina. Arctic Wolfs forskning viser at spionprogramvaren nå har utvidet seg til ofre i minst 13 land, inkludert USA og flere europeiske nasjoner, med noen ofre tilknyttet NATO-medlemsstater .

Utvikling til en kommersiell spionasjeplattform

LightSpy har kastet den opprinnelige identiteten som et statsstøttet spionasjeverktøy og blitt en fullverdig kommersiell overvåkingsplattform. Forskerne fant at den nå kommer med skreddersydd merkevarebygging, prisnivåer, faktureringsinfrastruktur og til og med et demomiljø for potensielle kjøpere . Plattformen markedsføres til regjeringer, bedrifter og militære kunder .

Modulær, plattformuavhengig arkitektur

Spionprogramvaren bruker et modulært rammeverk som gjør den i stand til å kompromittere et bredt spekter av enheter:

• Smarttelefoner (iOS og Android)
• Apple-enheter (macOS)
• Linux-servere
• Windows-PCer
• Nettverksrutere – et nytt angrepsvektor som ikke tidligere er observert, inkludert rutere knyttet til NATO-medlemsland

Ved å infisere rutere får operatørene innsyn i hele nettverk i stedet for bare individuelle enheter .

Omfattende datatyveri og destruktive egenskaper

LightSpy-moduler kan stjele:

• Enhetens posisjon
• Chatmeldinger
• Skjermopptak
• Passord
• Lydopptak og kamerastrømmer

Plattformen inkluderer også fjernfunksjonalitet for å slette enheter, slik at operatører kan gjøre kompromitterte enheter ubrukelige på avstand .

Global infrastruktur: 117 servere

Arctic Wolf identifiserte minst 117 servere som støtter LightSpy-operasjonen over hele verden .

Identifisering via en KFC-bestilling

Det mest slående operasjonelle sikkerhetsbruddet kom da en LightSpy-operatør logget seg inn i spionprogramvarens eget administrasjonspanel for å legge inn en Kentucky Fried Chicken (KFC) leveringsordre med ekte navn og kontoradresse . Denne tabben gjorde at forskerne kunne spore operasjonen til en spesifikk kinesisk entreprenør .

Arctic Wolf bemerket at KFC-bestillingen ble lagt inn via spionprogramvarens egen faktureringsinfrastruktur, og etterlot et digitalt spor som direkte knyttet operatøren til den ondsinnede aktiviteten .

Implikasjoner

Kommersialiseringen av LightSpy – inkludert prisnivåer og en SaaS-lignende forretningsmodell – tyder på at statsrelaterte overvåkingsverktøy i økende grad tilbys som ferdigpakket programvare til regjeringer og militære over hele verden. Evnen til å infisere rutere eskalerer ytterligere risikoen for nasjonal sikkerhet, ettersom kompromitterte rutere kan eksponere hele regjerings- og militærnettverk .