Пристрої iPhone у Південній Азії зазнають атак шпигуна LightSpy

Основними цілями відродженої кібершпигунської кампанії LightSpy є користувачі в Південній Азії, зокрема в Індії. Остання ітерація кампанії, відома як F_Warehouse, запроваджує модульну структуру з широкими шпигунськими можливостями.

Нещодавні висновки дослідників кібербезпеки виявили тривожне відродження кібершпигунської кампанії, націленої на користувачів у Південній Азії, про що повідомляє thehackernews.com. Кампанія отримала назву LightSpy і була оновлена за допомогою модульного фреймворку F_Warehouse, що має безліч шпигунських функцій. Ці викриття були зроблені групою з дослідження загроз BlackBerry Threat Research and Intelligence Team, яка детально виклала свої висновки у звіті, опублікованому минулого тижня.

Тактика та можливості LightSpy

Про націленість кампанії на Південну Азію, зокрема Індію, свідчать дані VirusTotal, які надходять із території цієї країни. Шпигунська програма LightSpy, уперше задокументована у 2020 році компаніями Trend Micro та Kaspersky, функціонує як передовий бекдор для iOS, який зазвичай поширюється через атаки водопою за допомогою скомпрометованих новинних сайтів. Цікава деталь була помічена в жовтні 2023 року, коли спеціалісти ThreatFabric виявили перетин між LightSpy і шпигунським програмним забезпеченням для Android DragonEgg, пов’язаним із китайським державним угрупованням APT41, також відомим як Winnti.

Хоча точний метод початкового проникнення залишається нез’ясованим, є підозра, що точкою входу слугують скомпрометовані новинні сайти, які відвідують жертви. Кампанія починається із завантажувача першого етапу, який діє як шлюз для основного бекдору LightSpy і супутніх плагінів, що завантажуються з віддаленого сервера для виконання операцій зі збирання даних.

Інструмент LightSpy, відомий своїми широкими можливостями та модульним дизайном, дає змогу зловмисникам збирати велику кількість конфіденційної інформації — від контактів і SMS-повідомлень до точних даних про розташування та навіть звукозаписів VoIP-дзвінків. Останній варіант, виявлений канадською компанією Blackberry, що спеціалізується на кібербезпеці, значно розширює ці функції, додаючи можливість викрадати файли та дані з таких популярних застосунків, як Telegram, QQ та WeChat, а також дані з в’язок iCloud та історію переглядів у Safari та Google Chrome.

Цей складний шпигунський фреймворк заходить ще далі, даючи змогу отримувати дані про мережу Wi-Fi, інформацію про встановлені застосунки, віддалені знімки з камер, аудіозаписи та виконувати команди оболонки, надіслані із сервера, що потенційно дає повний контроль над зараженими пристроями.

Запобіжні заходи та наслідки

Щоб запобігти виявленню, LightSpy використовує закріплення сертифікатів, завдяки чому зашифрований зв’язок із командно-контрольним сервером (C2) залишається невиявленим навіть у мережах, де трафік ретельно контролюється. Крім того, глибший аналіз вихідного коду імплантату натякає на залучення носіїв китайської мови, що вказує на можливе фінансування кампанії урядом Китаю. Наприклад, LightSpy зв’язується із сервером, розташованим за адресою 103.27[.]109[.]217, на якому також розміщена панель адміністратора з повідомленнями про помилки китайською мовою, що свідчить про походження шкідливого програмного забезпечення.

Ці викриття збігаються з нещодавніми попередженнями Apple користувачам у 92 країнах світу, включно з Індією, про потенційні атаки найманських шпигунських програм. Відродження LightSpy, тепер з універсальним фреймворком F_Warehouse, свідчить про тривожну ескалацію загроз мобільного шпигунства. Через розширені можливості, що полегшують викрадення великих обсягів даних, аудіоспостереження та потенційно повний контроль над пристроями ризики, на які наражаються окремі особи й організації в Південній Азії, є дуже серйозними.

Цікавлять послуги з кіберзахисту? Зверніться до DigVel! Наша команда сертифікованих фахівців із кібербезпеки ретельно проаналізує ваше IT-середовище на наявність вразливостей і допоможе виправити їх, перш ніж ними скористаються зловмисники.