LightSpy: китайское шпионское ПО вышло за пределы КНР и атакует 13 стран, включая членов НАТО

5–6 августа 2026 года на конференции Black Hat 2026 исследователи компании Arctic Wolf Дмитрий Бестужев и Дмитрий Меликов представили новые данные о шпионской платформе LightSpy . С момента своего первого обнаружения в 2018 году LightSpy прошёл путь от инструмента китайских государственных хакеров до полноценного коммерческого шпионского сервиса.

От материкового Китая к глобальной угрозе

Ранее LightSpy действовал исключительно на территории материкового Китая. Сейчас, по данным Arctic Wolf, его жертвы находятся как минимум в 13 странах, включая США и несколько европейских государств, в том числе страны — члены НАТО .

Превращение в коммерческую платформу

LightSpy больше не просто инструмент государственной разведки — это коммерческий продукт. Исследователи обнаружили у платформы собственный брендинг, ценовые планы, биллинговую инфраструктуру и даже демо-среду для потенциальных покупателей . Платформа продаётся правительственным, корпоративным и военным клиентам .

Модульная архитектура и атаки на роутеры

LightSpy построен на модульной основе и способен заражать широкий спектр устройств:

• Смартфоны (iOS и Android)
• Устройства Apple (macOS)
• Серверы на Linux
• ПК под управлением Windows
• Сетевые роутеры — это новая атака, ранее не наблюдавшаяся. Среди заражённых роутеров — устройства, связанные с государствами-членами НАТО

Заражение роутеров позволяет операторам получать доступ не к одному устройству, а к целым сетям .

Что похищает LightSpy

Модули шпионской программы способны красть:

• Геолокацию устройства
• Тексты переписок
• Записи экрана
• Пароли
• Аудиозаписи и видео с камер

Кроме того, платформа включает функцию удалённого уничтожения данных, позволяющую стереть все данные на заражённом устройстве, превратив его в «кирпич» .

Инфраструктура из 117 серверов

Arctic Wolf выявила не менее 117 серверов по всему миру, поддерживающих работу LightSpy .

Как заказ в KFC раскрыл оператора

Самый громкий провал операционной безопасности произошёл, когда один из операторов LightSpy зашёл в панель управления шпионского ПО, чтобы заказать доставку из Kentucky Fried Chicken (KFC), указав своё настоящее имя и офисный адрес . Эта ошибка позволила исследователям выйти на конкретного китайского подрядчика .

Arctic Wolf подчёркивает: заказ был сделан через биллинговую систему самой шпионской платформы, что оставило цифровой след, напрямую связывающий оператора с вредоносной деятельностью .

Последствия

Коммерциализация LightSpy — с ценовыми планами и моделью, напоминающей SaaS-бизнес, — говорит о том, что государственные инструменты слежения всё чаще предлагаются как готовые продукты правительствам и армиям по всему миру. Возможность заражать роутеры серьёзно повышает риски для национальной безопасности, так как скомпрометированные роутеры могут открыть доступ к целым правительственным и военным сетям .