Säkerhetsforskare vis säkerhetsföretaget Lookout har publicerat nya detaljer om ett Android-spionprogram som används i riktade attacker iscensatta av statsstödda förövare. Spionprogrammet har använts i attacker riktade mot enskilda i Kazakstan, Syrien och Italien.

Spionprogrammet, som Lookout döpt till Hermit, upptäcktes först i Kazakstan i april, bara månader efter att den kazakiska regeringen våldsamt slagit protester mot regeringens politik. Lookout menar att den senaste kampanjen där programmet har använts har iscensatts av den kazakiska regimen. Spionprogrammet har även använts i den nordöstra kurdiska regionen i Syrien och av italienska myndigheter som en del av en antikorruptionsutredning.

Spionprogram

Baserat på vår analys är spionprogrammet, som vi kallar ”Hermit”, troligtvis utvecklat av den italienska spionprogramsleverantören RCS Lab S.p.A och Tykelab Srl, ett telekommunikationslösningsföretag som vi misstänker fungerar som ett frontföretag.

Det är inte första gången Hermit har använts. Vi vet att de italienska myndigheterna använde den i en anti-korruptionsoperation 2019. Vi hittade också bevis som tydde på att en okänd aktör använde programmet i nordöstra Syrien, en övervägande kurdisk region som har varit miljö för många regionala konflikter.

Även om vissa Hermit-installationer har upptäckts tidigare och är allmänt erkända som generiska spionprogram, är kopplingarna vi gör i den här bloggen till utvecklare, kampanjer och operatörer nya.

RCS Lab, en känd utvecklare som har varit aktiv i över tre decennier, verkar på samma marknad som Pegasus-utvecklaren NSO Group Technologies och Gamma Group, som skapade FinFisher. Kollektivt stämplade som ”lagliga avlyssningsföretag”, hävdar de att de endast säljer till kunder med legitim användning av övervakningsprogram, såsom underrättelsetjänster och brottsbekämpande myndigheter. I verkligheten har sådana verktyg ofta missbrukats under sken av nationell säkerhet för att spionera på företagsledare, människorättsaktivister, journalister, akademiker och regeringstjänstemän.

Det tros att den skadliga Android-appen distribueras med falska sms som utger sig för att komma från en legitim källa. Det kan vara appmeddelanden som ser ut att komma från telekomföretag och andra populära märken, som Samsung och den kinesiska elektronikjätten Oppo. Med falska meddelande luras användarna att ladda ned skadliga appar.

Det finns även uppgifter om att Hermit använts i falska iOS-appar där Apples enterprise-licens har missbrukats. Lookout har dock ännu inte kunnat hitta den kod som används i iOS-versionen eller någon app där Hermit-koden lagts in.

Lookout