Beveiligingsonderzoekers van Arctic Wolf hebben nieuwe activiteiten vastgesteld van de spyware LightSpy in dertien landen. Het gaat naast slachtoffers in China om doelen in de Verenigde Staten en meerdere Europese landen. Eerdere versies van de spyware werden in verband gebracht met hackers die door de Chinese staat worden gesteund.
LightSpy kan verschillende soorten apparaten aanvallen, waaronder smartphones, Apple-apparaten, Linux-servers en Windows-pc's. De software benut per apparaat specifieke kwetsbaarheden om toegang te krijgen. Daarna kunnen aanvallers onder meer nauwkeurige locatiegegevens, chatberichten, schermopnames en opgeslagen wachtwoorden buitmaken.
De onderzoekers stellen dat de code ook op afstand gegevens kan wissen en apparaten onbruikbaar kan maken. Daarmee kunnen aanvallers niet alleen informatie verzamelen, maar een getroffen apparaat ook uitschakelen.
Routeraanvallen
LightSpy is nu ook aangetroffen op routers. Dat is voor het eerst dat de onderzoekers deze spyware op zulke netwerkapparatuur hebben gezien. Wie een router in handen krijgt, kan zicht krijgen op en mogelijk toegang krijgen tot andere apparaten binnen hetzelfde netwerk.
Een deel van de getroffen routers is verbonden aan NAVO-lidstaten, meldt Arctic Wolf. De onderzoekers brachten verder een infrastructuur van ten minste 117 servers in kaart die LightSpy gebruikt en die over meerdere landen is verspreid.
Volgens Arctic Wolf is LightSpy sinds de ontdekking in 2018 veranderd van een aan Chinese staatsactoren gekoppeld programma in een commerciële spywaredienst. De dienst zou door één dreigingsactor worden beheerd en worden aangeboden aan overheden, bedrijven en legers.
De onderzoekers zagen aanwijzingen voor een commerciële aanpak, zoals eigen huisstijl, facturering en demonstraties voor mogelijke klanten. Zij konden de recente activiteit koppelen aan een Chinese opdrachtnemer nadat een beheerder van de spyware met zijn echte naam en kantooradres een bestelling plaatste via het beheerpaneel van LightSpy.
