Od narzędzia państwowego do komercyjnego produktu

LightSpy ewoluowało z szytego na miarę narzędzia szpiegowskiego w w pełni skomercjalizowaną platformę. Badacze Arctic Wolf odkryli, że oprogramowanie ma własny branding, cennik, infrastrukturę billingową, a nawet środowisko demonstracyjne dla potencjalnych klientów . Grono odbiorców nie ogranicza się do aktorów państwowych: wśród klientów są chińskie firmy, agencje rządowe, jednostki wojskowe i organizacje edukacyjne . Ta komercjalizacja oznacza przesunięcie od ukierunkowanego hakowania w stronę szerszego i łatwiej dostępnego ekosystemu inwigilacji .

Globalny zasięg: 13+ krajów i 117 serwerów

Kiedyś skoncentrowane na terenie Chin kontynentalnych, LightSpy działa obecnie w ponad kilkunastu krajach, w tym w Stanach Zjednoczonych i kilku państwach europejskich – niektóre z nich to członkowie NATO . Arctic Wolf zidentyfikowało co najmniej 117 serwerów dowodzenia i kontroli (C2) na całym świecie, które obsługują tę operację .

Modułowe możliwości na wielu platformach

Modułowa architektura LightSpy pozwala mu infekować szeroki wachlarz urządzeń :

• Smartfony (iOS i Android)
• Urządzenia Apple (macOS)
• Komputery z Windows
• Serwery Linux
• Routery – w tym te używane przez przedsiębiorstwa i organizacje stowarzyszone z NATO, co rozszerza ryzyko na całe sieci

Po zainstalowaniu oprogramowanie może wykradać szeroki zakres wrażliwych danych :

• Precyzyjne dane o lokalizacji
• Wiadomości czatu i nagrania audio
• Obraz z kamery i nagrania ekranu
• Hasła i inne poświadczenia

Oprócz kradzieży LightSpy ma też funkcję destrukcyjną: może zdalnie wyczyścić urządzenie ofiary, czyniąc je bezużytecznym .

Przełom w atrybucji: zamówienie z KFC

Najbardziej uderzającym szczegółem raportu jest sposób, w jaki badaczom udało się powiązać obecną działalność z konkretną chińską firmą kontraktową. Jeden z operatorów platformy, korzystając z panelu administracyjnego LightSpy, przypadkowo złożył zamówienie na kurczaka z KFC (Kentucky Fried Chicken), używając swojego prawdziwego imienia i adresu biura . Ten błąd w zabezpieczeniach operacyjnych (tzw. opsec failure) dał Arctic Wolf wystarczające wskazówki, by połączyć infrastrukturę bezpośrednio z operatorem .

Arctic Wolf konsultuje się obecnie z amerykańskim Departamentem Bezpieczeństwa Krajowego (Department of Homeland Security) i planuje udostępnić swoje ustalenia organom ścigania .

Od narzędzia państwowego do komercyjnego produktu

LightSpy ewoluowało z szytego na miarę narzędzia szpiegowskiego w w pełni skomercjalizowaną platformę. Badacze Arctic Wolf odkryli, że oprogramowanie ma własny branding, cennik, infrastrukturę billingową, a nawet środowisko demonstracyjne dla potencjalnych klientów . Grono odbiorców nie ogranicza się do aktorów państwowych: wśród klientów są chińskie firmy, agencje rządowe, jednostki wojskowe i organizacje edukacyjne . Ta komercjalizacja oznacza przesunięcie od ukierunkowanego hakowania w stronę szerszego i łatwiej dostępnego ekosystemu inwigilacji .

Globalny zasięg: 13+ krajów i 117 serwerów

Kiedyś skoncentrowane na terenie Chin kontynentalnych, LightSpy działa obecnie w ponad kilkunastu krajach, w tym w Stanach Zjednoczonych i kilku państwach europejskich – niektóre z nich to członkowie NATO . Arctic Wolf zidentyfikowało co najmniej 117 serwerów dowodzenia i kontroli (C2) na całym świecie, które obsługują tę operację .

Modułowe możliwości na wielu platformach

Modułowa architektura LightSpy pozwala mu infekować szeroki wachlarz urządzeń :

• Smartfony (iOS i Android)
• Urządzenia Apple (macOS)
• Komputery z Windows
• Serwery Linux
• Routery – w tym te używane przez przedsiębiorstwa i organizacje stowarzyszone z NATO, co rozszerza ryzyko na całe sieci

Po zainstalowaniu oprogramowanie może wykradać szeroki zakres wrażliwych danych :

• Precyzyjne dane o lokalizacji
• Wiadomości czatu i nagrania audio
• Obraz z kamery i nagrania ekranu
• Hasła i inne poświadczenia

Oprócz kradzieży LightSpy ma też funkcję destrukcyjną: może zdalnie wyczyścić urządzenie ofiary, czyniąc je bezużytecznym .

Przełom w atrybucji: zamówienie z KFC

Najbardziej uderzającym szczegółem raportu jest sposób, w jaki badaczom udało się powiązać obecną działalność z konkretną chińską firmą kontraktową. Jeden z operatorów platformy, korzystając z panelu administracyjnego LightSpy, przypadkowo złożył zamówienie na kurczaka z KFC (Kentucky Fried Chicken), używając swojego prawdziwego imienia i adresu biura . Ten błąd w zabezpieczeniach operacyjnych (tzw. opsec failure) dał Arctic Wolf wystarczające wskazówki, by połączyć infrastrukturę bezpośrednio z operatorem .

Arctic Wolf konsultuje się obecnie z amerykańskim Departamentem Bezpieczeństwa Krajowego (Department of Homeland Security) i planuje udostępnić swoje ustalenia organom ścigania .