Как шпионское ПО LightSpy попало в 13 стран и выдало себя заказом в KFC

Глобальный охват: 13+ стран и 117 серверов

Если раньше LightSpy был сосредоточен в материковом Китае, то сейчас его жертвы находятся более чем в дюжине стран, включая США и ряд европейских государств — в том числе членов НАТО . Arctic Wolf выявила по меньшей мере 117 серверов управления и контроля (C2), развёрнутых по всему миру .

Модульная архитектура: от смартфонов до роутеров

Благодаря модульному строению LightSpy способен заражать широчайший спектр устройств :

• Смартфоны (iOS и Android)
• Устройства Apple (macOS)
• ПК на Windows
• Серверы на Linux
• Роутеры — в том числе используемые предприятиями и организациями, связанными с НАТО, что открывает злоумышленникам доступ ко всей корпоративной сети

После заражения шпионское ПО может похищать широкий спектр чувствительных данных :

• Точные координаты местоположения
• Тексты сообщений и аудиозаписи
• Записи с камер и экрана
• Пароли и другую учётную информацию

Кроме кражи, LightSpy обладает деструктивной функцией: дистанционное уничтожение данных на устройстве жертвы, полностью выводя его из строя (так называемый «брикинг») .

Как заказ куриных крылышек привёл к разоблачению

Самая поразительная деталь расследования — то, как исследователям удалось выйти на оператора. Один из сотрудников китайского подрядчика, управлявшего LightSpy, случайно заказал доставку из KFC (Kentucky Fried Chicken) через панель администратора шпионского ПО, указав своё настоящее имя и адрес офиса . Эта фатальная ошибка в вопросах операционной безопасности позволила Arctic Wolf собрать цепочку улик, которая привела прямо к оператору инфраструктуры .

В настоящее время Arctic Wolf консультируется с Министерством внутренней безопасности США и планирует передать выводы расследования Федеральному бюро расследований (ФБР) .