Від материкового Китаю до глобальної загрози

LightSpy вперше виявили у 2018 році, і раніше він був зосереджений на цілях у материковому Китаї. Дослідження Arctic Wolf показує, що тепер він поширився на жертв у щонайменше 13 країнах, включаючи Сполучені Штати та кілька європейських держав, причому деякі жертви пов'язані з країнами-членами НАТО .

Перетворення на комерційну шпигунську платформу

LightSpy втратив свою початкову ідентичність як інструмент державного шпигунства і перетворився на повноцінну комерційну платформу спостереження. Дослідники виявили, що вона тепер має власний брендинг, цінові плани, інфраструктуру виставлення рахунків і навіть демо-середовище для потенційних покупців . Платформа пропонується урядовим, корпоративним та військовим клієнтам .

Модульна, крос-платформна архітектура

Шпигунське ПЗ використовує модульну структуру, що дозволяє йому вражати широкий спектр пристроїв:

• Смартфони (iOS та Android)
• Пристрої Apple (macOS)
• Сервери Linux
• ПК на Windows
• Мережеві роутери — новий вектор атаки, якого раніше не спостерігалося, включно з роутерами, пов'язаними з країнами-членами НАТО

Заражуючи роутери, оператори отримують доступ до цілих мереж, а не лише окремих пристроїв .

Широкі можливості викрадення даних та знищення

Модулі LightSpy можуть викрадати:

• Геолокацію пристрою
• Текстові повідомлення
• Записи екрану
• Паролі
• Аудіозаписи та відео з камер

Платформа також включає функцію віддаленого знищення пристрою, що дозволяє операторам дистанційно виводити з ладу заражені девайси .

Глобальна інфраструктура: 117 серверів

Arctic Wolf ідентифікувала щонайменше 117 серверів, які підтримують роботу LightSpy по всьому світу .

Атрибуція через замовлення в KFC

Найяскравіший провал в операційній безпеці стався, коли оператор LightSpy, увійшовши в адмінпанель самого шпигунського ПЗ, зробив замовлення доставки з Kentucky Fried Chicken (KFC) на своє справжнє ім'я та робочу адресу . Ця помилка дозволила дослідникам простежити операцію до конкретного китайського підрядника .

Arctic Wolf зазначили, що замовлення KFC було зроблено через власну платіжну інфраструктуру шпигунського ПЗ, залишивши цифровий слід, який безпосередньо пов'язав оператора зі зловмисною діяльністю .

Наслідки

Комерціалізація LightSpy — включаючи багаторівневе ціноутворення та бізнес-модель за принципом SaaS (програмне забезпечення як послуга) — свідчить про те, що інструменти спостереження, пов'язані з державами, дедалі частіше пропонуються як готові продукти урядам і військовим по всьому світу. Здатність вражати роутери ще більше підвищує ризик для національної безпеки, оскільки скомпрометовані роутери можуть відкрити доступ до цілих урядових і військових мереж .

Від материкового Китаю до глобальної загрози

LightSpy вперше виявили у 2018 році, і раніше він був зосереджений на цілях у материковому Китаї. Дослідження Arctic Wolf показує, що тепер він поширився на жертв у щонайменше 13 країнах, включаючи Сполучені Штати та кілька європейських держав, причому деякі жертви пов'язані з країнами-членами НАТО .

Перетворення на комерційну шпигунську платформу

LightSpy втратив свою початкову ідентичність як інструмент державного шпигунства і перетворився на повноцінну комерційну платформу спостереження. Дослідники виявили, що вона тепер має власний брендинг, цінові плани, інфраструктуру виставлення рахунків і навіть демо-середовище для потенційних покупців . Платформа пропонується урядовим, корпоративним та військовим клієнтам .

Модульна, крос-платформна архітектура

Шпигунське ПЗ використовує модульну структуру, що дозволяє йому вражати широкий спектр пристроїв:

• Смартфони (iOS та Android)
• Пристрої Apple (macOS)
• Сервери Linux
• ПК на Windows
• Мережеві роутери — новий вектор атаки, якого раніше не спостерігалося, включно з роутерами, пов'язаними з країнами-членами НАТО

Заражуючи роутери, оператори отримують доступ до цілих мереж, а не лише окремих пристроїв .

Широкі можливості викрадення даних та знищення

Модулі LightSpy можуть викрадати:

• Геолокацію пристрою
• Текстові повідомлення
• Записи екрану
• Паролі
• Аудіозаписи та відео з камер

Платформа також включає функцію віддаленого знищення пристрою, що дозволяє операторам дистанційно виводити з ладу заражені девайси .

Глобальна інфраструктура: 117 серверів

Arctic Wolf ідентифікувала щонайменше 117 серверів, які підтримують роботу LightSpy по всьому світу .

Атрибуція через замовлення в KFC

Найяскравіший провал в операційній безпеці стався, коли оператор LightSpy, увійшовши в адмінпанель самого шпигунського ПЗ, зробив замовлення доставки з Kentucky Fried Chicken (KFC) на своє справжнє ім'я та робочу адресу . Ця помилка дозволила дослідникам простежити операцію до конкретного китайського підрядника .

Arctic Wolf зазначили, що замовлення KFC було зроблено через власну платіжну інфраструктуру шпигунського ПЗ, залишивши цифровий слід, який безпосередньо пов'язав оператора зі зловмисною діяльністю .

Наслідки

Комерціалізація LightSpy — включаючи багаторівневе ціноутворення та бізнес-модель за принципом SaaS (програмне забезпечення як послуга) — свідчить про те, що інструменти спостереження, пов'язані з державами, дедалі частіше пропонуються як готові продукти урядам і військовим по всьому світу. Здатність вражати роутери ще більше підвищує ризик для національної безпеки, оскільки скомпрометовані роутери можуть відкрити доступ до цілих урядових і військових мереж .