Produtos de spyware do consórcio de vigilância Intellexa continuam prosperando apesar das extensas sanções dos EUA.
Isso ocorre após uma investigação de meses sobre um conjunto de documentos altamente sensíveis e outros materiais vazados pela empresa foi publicada pela Inside Story, Haaretz e pelo WAV Research Collective, apelidada de “IntellexaLeaks”.
Após a publicação da investigação, surgiram três relatórios distintos, porém coordenados, sobre a atividade do consórcio de spyware, detalhando novos vetores de ataque e listas de vítimas.
Incluem documentos do Google Threat Intelligence Group (GTIG), do Insikt Group da Recorded Future e do Security Lab da Anistia Internacional, que também forneceu a equipe técnica aos jornalistas que trabalham no IntellexaLeaks, revelando que o fabricante do spyware continua vendendo armas digitais para os maiores lances.
Entre as principais descobertas, GTIG revelado que a Intellexa consolidou sua posição como um dos, senão o mais, fornecedor de spyware prolífico explorando vulnerabilidades zero-day contra navegadores móveis.
O fornecedor de spyware, composto por várias entidades legais que abrangem Grécia, Irlanda, Hungria, Macedônia do Norte e além, está por trás de pelo menos 15 dos 70 exploits zero-day documentados pela GTIG e seu antecessor, o Grupo de Análise de Ameaças (TAG) do Google, desde 2021.
Isso apesar de várias ondas de sanções que visam empresas e indivíduos da Intellexa ligados ao consórcio, incluindo sanções do Escritório de Controle de Ativos Estrangeiros (OFAC) do Tesouro dos EUA em Março e Setembro de 2024, tendo como alvo sete indivíduos no total.
Além disso, a Intellexa foi multada pela Autoridade Grega de Proteção de Dados em 2023 por não cumprir suas investigações sobre a empresa.
Novos vetores de ataque ‘zero-click’ revelados
O relatório do Laboratório de Segurança da Anistia também esclareceu como o Predator, produto principal da Intellexa, agora às vezes comercializado como Helios, Nova, Green Arrow ou Red Arrow, infecta dispositivos alvo.
Tradicionalmente, o Predator dependia quase exclusivamente de ataques de ‘um clique’ para infectar um dispositivo, o que exigia que um link malicioso fosse aberto no celular do alvo. Isso é menos intrusivo do que aproveitar ataques ‘zero-click’ típicos de outros spyware feitos por concorrentes como o Pegasus do NSO Group.
No entanto, o relatório da Anistia revelou que a Intellexa desenvolveu recentemente um novo vetor estratégico de infecção, o ‘Aladdin’, que pode permitir a infecção silenciosa sem clique de dispositivos-alvo em qualquer lugar do mundo.
O vetor, que foi exposto pela primeira vez por Haaretz e História Interna, explora o ecossistema comercial de publicidade móvel para realizar infecções.
A Anistia descreve a cadeia de ataques como “tecnicamente complexa de implementar”, mas “conceitualmente simples.”
“O sistema Aladdin infecta o telefone do alvo forçando um anúncio malicioso criado pelo atacante a ser exibido no celular do alvo. Esse anúncio malicioso pode ser exibido em qualquer site que exiba anúncios, como um site de notícias confiável ou aplicativo móvel, e apareceria como qualquer outro anúncio que o alvo provavelmente verá a imagem. Materiais internos da empresa explicam que simplesmente visualizar o anúncio já é suficiente para acionar a infecção no dispositivo do alvo, sem necessidade de clicar no próprio anúncio”, diz o relatório da Anistia.
O Relatório Futuro Gravado também revelou que duas entidades recém-identificadas aparentemente atuando no setor de publicidade podem estar ligadas a Aladdin.
O Laboratório de Segurança da Anistia compartilhou as descobertas de documentos vazados e imagens que mostram a profunda visibilidade da Intellexa sobre operações de vigilância ao vivo, indicando que o fabricante do spyware mantém acesso direto aos sistemas de spyware dos clientes ao vivo.
Novas entidades ligadas ao Intellexa descobertas
Outra descoberta importante no relatório da Anistia confirmou a atribuição anterior de domínios suspeitos de infecção, que imitam sites legítimos de notícias cazaques, e infraestrutura ao Predator.
“Embora nenhuma vítima do ataque ao spyware Predator tenha sido identificada no Cazaquistão, investigações anteriores do Laboratório de Segurança documentaram o hacking ilegal de pelo menos quatro jovens ativistas cazaques com spyware Pegasus em 2021”, disse o relatório da Anistia.
Com base na análise de infraestrutura, o Grupo Insikt da Recorded Future avaliou que o cazaquestan continuou, pelo menos até agosto de 2025, a usar o spyware Predator.
O relatório também revelou várias entidades recém-identificadas no nexo da Intellexa, incluindo algumas ligadas ao cluster tcheco do consórcio e uma nas Filipinas.
Os dados da Intellexa analisados durante as investigações também mostraram potenciais novas vítimas na Grécia e no Egito, além de evidências de que clientes baseados no Egito e na Arábia Saudita ainda estão ativos.
Nos últimos dois anos, o Grupo Insikt da Recorded Future identificou suspeitos de operadores do Predator em mais de uma dúzia de países, incluindo Angola, Armênia, Botsuana, República Democrática do Congo, Egito, Grécia, Indonésia, Cazaquistão, Mongólia, Moçambique, Omã, Filipinas, Arábia Saudita, Sudão, Trinidad e Tobago e Vietnã.