Pesquisadores do Grupo Insikt descobriram uma nova infraestrutura ligada a vários clusters operacionais associados ao fornecedor israelense de spyware Candiru, revelando uma campanha em andamento que implanta o sofisticado malware DevilsTongue contra usuários do Windows em vários países.
A descoberta destaca a ameaça persistente representada pelas ferramentas de vigilância comercial, apesar dos esforços regulatórios internacionais para conter o seu abuso.
A investigação identificado oito clusters de infra-estruturas distintos ligados às operações da Candiru, dos quais cinco têm grande probabilidade de estarem actualmente activos.
Entre estes, os clusters ligados à Hungria e à Arábia Saudita permanecem operacionais, enquanto um cluster associado à Indonésia esteve activo até Novembro de 2024.
Dois clusters adicionais ligados ao Azerbaijão permanecem com um estatuto incerto devido à visibilidade limitada da sua infra-estrutura voltada para as vítimas.
A análise do Grupo Insikt usando Recorded Future Network Intelligence revelou variações significativas na forma como esses clusters são administrados.
Alguns operadores gerem diretamente os seus sistemas voltados para as vítimas, enquanto outros empregam camadas de infraestrutura intermediárias ou encaminham o tráfego através da rede Tor para ocultar as suas atividades.
A infraestrutura inclui componentes voltados para as vítimas, usados para implantar e controlar o DevilsTongue, bem como infraestrutura de operador de nível superior.
Alvos de alto valor em risco
DevilsTongue é um software sofisticado e modular Malware do Windows capaz de infiltração profunda em dispositivos, extração de arquivos, coleta de dados do navegador e roubo de mensagens criptografadas de aplicativos como o Signal.
O elevado custo por implementação estimado em milhões de euros com base em informações de vendas vazadas significa que indivíduos com valor de inteligência significativo estão particularmente em risco.
Políticos, líderes empresariais, jornalistas, defensores dos direitos humanos e indivíduos em funções sensíveis representam os principais alvos dos operadores que utilizam esta tecnologia.
A utilização de spyware mercenário fora de contextos de crimes graves ou de contraterrorismo representa riscos substanciais de privacidade, legais e de segurança, não apenas para os alvos e suas organizações, mas também para os próprios operadores.
Apesar da crescente pressão internacional, Candiru demonstrou uma resiliência notável. Em novembro de 2021, o Departamento de Comércio dos EUA adicionou Candiru à sua Lista de Entidades, citando o seu papel no fornecimento de spyware a governos estrangeiros envolvidos em atividades maliciosas.
A União Europeia aprovou resoluções destinadas a conter abuso de spywaree a iniciativa Pall Mall, liderada pelo Reino Unido e pela França, procura definir e regular o uso legítimo de ferramentas de vigilância.
No entanto, Candiru continua a operar e tem resistido ativamente às restrições, incluindo esforços para garantir a remoção da Lista de Entidades.
Em Abril de 2022, o Citizen Lab informou que membros do movimento de independência catalão foram alvo de spyware Candiru como parte de uma operação de vigilância doméstica.
A frequente reestruturação corporativa da empresa, operando sob nomes como Saito Tech Ltd., Taveta Ltd. e Grindavik Solutions Ltd., ajudou a manter o sigilo operacional.
Recomendações defensivas
Os defensores da segurança devem implementar medidas de proteção abrangentes, incluindo atualizações regulares de software, caça a ameaças para indicadores conhecidos de comprometimento, instruções de segurança pré-viagem para funcionários em risco e separação estrita de dispositivos pessoais e corporativos.
A proposta do projeto Candiru que vazou descrevendo os recursos específicos do spyware para Windows.
O treinamento de conscientização sobre segurança dos funcionários deve abordar vetores de infecção e recursos de malware, ao mesmo tempo em que promove práticas mínimas de exposição de dados.
As organizações que enfrentam riscos elevados devem investir em avaliações de risco minuciosas para desenvolver políticas de segurança adaptativas.
À medida que o mercado de spyware mercenário se expande com novos fornecedores e mais países que procuram capacidades cibernéticas avançadas, o risco de atingir agora estende-se para além da sociedade civil, para qualquer pessoa de interesse para os intervenientes com acesso a tais ferramentas.
A inovação continua a acelerar, com técnicas emergentes, incluindo alegadas infecções baseadas em anúncios, ataques diretos a servidores de mensagens e mecanismos de persistência melhorados.
Esses desenvolvimentos estão gerando cadeias de infecção mais furtivas, visando backups em nuvem e portfólios de ferramentas mais amplos em um ecossistema de spyware cada vez mais profissionalizado.
A mitigação eficaz requer monitorização contínua do ecossistema e ações regulatórias mais decisivas por parte dos decisores políticos em todo o mundo.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.