Intellexa explora vulnerabilidades zero-day com spyware – Against Invaders

Redazione RHC:8 Dezembro de 2025 20:40

Apesar de desafios geopolíticos significativos, o mercenário spyware indústria permanece uma ameaça resiliente e persistente; nesse contexto, o conhecido fornecedor Intellexa continua expandindo seu arsenal.

Um relatório recente do Grupo de Inteligência de Ameaças do Google (GTIG) destaca como a empresa, famosa por seu “Predador”, destaca como a empresa spyware, não é apenas resistir Sanções dos EUA , mas também é ativa contornando restrições para continuar prosperando , explorando um fluxo constante de zero-day Vulnerabilidades.

A Intellexa construiu uma reputação formidável no mercado de vigilância. De acordo com um Análise do Google , o fornecedor tem “consolidou sua posição como uma das mais prolíficas, se não a mais prolífica, spyware fornecedores na exploração de vulnerabilidades zero-day contra navegadores móveis.”

A escala das operações deles é impressionante. Desde 2021, Google rastreou aproximadamente 70 vulnerabilidades zero-day em uso. Destes, “A Intellexa é responsável por 15 vulnerabilidades zero-day únicas, incluindo Execução Remota de Código (RCE), Fuga Sandbox (SBX) e Escalonamento de Privilégios Locais (LPE).”

O relatório detalha um iOS sofisticado explorar chamada internamente pela Intellexa de “smack”, que foi usado contra alvos no Egito para instalar o spyware Predator.

Essa cadeia foi baseada em um framework que o Google chama de “JSKit.” Este kit de ferramentas modular foi projetado para rodar código nativo em dispositivos Apple analisando binários Mach-O diretamente na memória. Curiosamente, pesquisadores do Google acreditam Provavelmente a Intellexa não desenvolveu isso de forma independente.

“Acreditamos que a Intellexa adquiriu seus exploits RCE do iOS de uma entidade externa, pois já vimos exatamente esse mesmo framework JSKit usado por outros fornecedores de vigilância e Atacantes apoiados pelo governo desde 2021,” O relatório afirma.

Uma vez que o dispositivo é comprometido, uma carga útil é rotulada PREYHUNTER é implantado. Esta etapa consiste em Módulos “Auxiliar” e “Observador” que garantem que o implante permaneça oculto durante a realização de atividades de vigilância. Usando frameworks de hooking personalizados (” DMHooker” e “UMHooker” ), o Malware pode gravar chamadas VOIP, executar keyloggers e capturar fotos.

O alcance da Intellexa vai além dos iPhones. O grupo também tem implementaram frameworks personalizados para explorar o Chrome, especificamente direcionados ao motor JavaScript V8. Mais recentemente, em junho de 2025, foram observados explorando CVE-2025-6554 na Arábia Saudita, uma falha de tipo de confusão que permitia que eles infringissem objetos de memória.

Em resposta a essas descobertas, o Google está tomando medidas diretas para alertar potenciais vítimas. “Decidimos enviar simultaneamente nosso alerta de ataque apoiado pelo governo para todas as contas-alvo conhecidas associadas a clientes da Intellexa desde 2023,” O relatório afirma.

Essa notificação em massa afeta centenas de usuários em Paquistão, Cazaquistão, Angola, Egito, Uzbequistão, Arábia Saudita e Tajiquistão, sinalizando uma escalada acentuada na luta do gigante da tecnologia contra o comércio de spyware.