Intellexa: Κατάχρηση 15 zero-day ευπαθειών από το 2021

Μια από τις πιο δραστήριες και αμφιλεγόμενες εταιρείες spyware των τελευταίων ετών, η Intellexa, βρίσκεται ξανά στο επίκεντρο, καθώς σύμφωνα με πρόσφατη έρευνα έχει αξιοποιήσει 15 zero-day ευπάθειες από το 2021 για στοχευμένες επιθέσεις σε συσκευές iOS και Android. Παρά τις κυρώσεις που έχει δεχθεί από τις ΗΠΑ, το δίκτυο της Intellexa φαίνεται να παραμένει εξαιρετικά ενεργό και τεχνικά εξελιγμένο, με επιθέσεις που καταγράφονται σε χώρες όπως η Σαουδική Αραβία, το Πακιστάν, η Αίγυπτος και άλλες περιοχές υψηλού γεωπολιτικού ενδιαφέροντος.

Predator και εμπορική κατασκοπεία: Η επιχειρηματική μηχανή της Intellexa

Η εταιρεία έχει γίνει διεθνώς γνωστή για την ανάπτυξη του spyware Predator, ενός λογισμικού που επιτρέπει πλήρη απομακρυσμένο έλεγχο των συσκευών-στόχων. Αν και τελεί υπό κυρώσεις, η Intellexa συνεχίζει να λειτουργεί μέσω ενός πλέγματος εταιρειών-βιτρινών, οι οποίες της επιτρέπουν να διατηρεί πελάτες παγκοσμίως και να αποφεύγει την άμεση σύνδεση με τις δραστηριότητές της.

Δείτε επίσης: Ερευνητές αποκαλύπτουν πάνω από 30 ευπάθειες σε εργαλεία κωδικοποίησης AI

Σύμφωνα με τους αναλυτές της Google Cloud που παρακολουθούν ενεργά την κατασκοπική δραστηριότητα commercial spyware εταιρειών, η Intellexa αποτελεί έναν από τους μεγαλύτερους “καταναλωτές zero-day exploits” που στοχεύουν mobile browsers. Από τις περίπου 70 άγνωστες ευπάθειες που έχουν ανακαλυφθεί τα τελευταία τρία χρόνια, η εταιρεία φέρεται να βρίσκεται πίσω από τουλάχιστον 15 αλυσίδες εκμετάλλευσης, συμπεριλαμβανομένων Remote Code Execution (RCE), Sandbox Escape και Local Privilege Escalation.

Επιθέσεις μέσω κρυφών συνδέσμων και stealth delivery

Οι επιθέσεις της Intellexa στις περισσότερες περιπτώσεις ξεκινούν με έναν κακόβουλο σύνδεσμο, ο οποίος στέλνεται μέσω κρυπτογραφημένων εφαρμογών μηνυμάτων — ένα περιβάλλον όπου ο έλεγχος περιεχομένου είναι πρακτικά αδύνατος. Μόλις ο χρήστης ανοίξει το link, η συσκευή του μεταφέρεται σε μια αλυσίδα exploits που εκτελείται αθόρυβα και οδηγεί στην εγκατάσταση του Predator.

Δείτε επίσης: Η ευπάθεια React2Shell στον Κατάλογο KEV της CISA – Παραβίαση 30 οργανισμών

Οι προμηθευτές που επηρεάστηκαν (Apple, Google και άλλοι) έχουν ήδη διορθώσει τα κενά ασφαλείας, αλλά η ταχύτητα με την οποία η Intellexa αντικαθιστά τα εργαλεία της —αγοράζοντας νέες αλυσίδες εκμετάλλευσης από εξωτερικούς developers— της δίνει σημαντικό επιχειρησιακό πλεονέκτημα.

Η υπόθεση της Αιγύπτου: Το exploit chain “smack”

Μια από τις πιο χαρακτηριστικές υποθέσεις, που δημοσιοποιήθηκαν, αφορά επίθεση στην Αίγυπτο, όπου χρησιμοποιήθηκε μια αλυσίδα exploits με την εσωτερική ονομασία “smack”. Η επίθεση ξεκινά με την εκμετάλλευση του CVE-2023-41993 στο Safari, με τη χρήση του πλαισίου JSKit, το οποίο παρέχει δυνατότητες ανάγνωσης και εγγραφής στη μνήμη. Το συγκεκριμένο framework έχει εντοπιστεί σε πολυάριθμες καμπάνιες από το 2021 και θεωρείται από τους ερευνητές ιδιαίτερα ώριμο και ενεργά συντηρημένο.

Sandbox escape και διείσδυση στον πυρήνα

Στο δεύτερο στάδιο, η επίθεση εκμεταλλεύεται δύο ευπάθειες πυρήνα — CVE-2023-41991 και CVE-2023-41992 — για να πετύχει sandbox escape, παρέχοντας στο τελικό payload πρόσβαση σε κρίσιμες περιοχές της μνήμης. Αυτό το σημείο ουσιαστικά «ανοίγει την πόρτα» για την πλήρη εγκατάσταση του spyware.

Δείτε επίσης: Ευπάθεια στο NVIDIA Triton επιτρέπει σε επιτιθέμενους να προκαλέσουν DoS επίθεση

Τα modules “helper” και “watcher”: Η κρυφή λειτουργία του Predator

Το τρίτο στάδιο περιλαμβάνει δύο modules, γνωστά ως helper και watcher:

• Το watcher λειτουργεί ως σύστημα αντι-εντοπισμού. Παρακολουθεί αν η συσκευή διαθέτει εργαλεία ασφαλείας, λειτουργίες debugging, αν βρίσκεται στις ΗΠΑ ή στο Ισραήλ ή αν χρησιμοποιεί λογισμικό antivirus όπως McAfee ή Norton. Αν εντοπίσει τέτοιες ενδείξεις, τερματίζει αυτομάτως την επίθεση ώστε να αποφευχθεί η αποκάλυψη του exploit chain.
• Το helper παρέχει τις “πραγματικές” δυνατότητες κατασκοπείας. Με προσαρμοσμένα frameworks (DMHooker και UMHooker), μπορεί να καταγράφει φωνητικές κλήσεις, πληκτρολόγηση και να τραβά φωτογραφίες μέσω της κάμερας, κρύβοντας ταυτόχρονα τις σχετικές ειδοποιήσεις μέσω σύνδεσης με το SpringBoard του iOS.

Τα αρχεία φωνητικών καταγραφών αποθηκεύονται σε μορφή .m4a σε ειδική διαδρομή, ενώ τα metadata των compiled modules αποκαλύπτουν εσωτερικά ονόματα και pipelines που συνδέονται με το οικοσύστημα ανάπτυξης της Intellexa.

Ένα οικοσύστημα που δύσκολα θα σταματήσει

Η πορεία της Intellexa από το 2021 έως σήμερα αποδεικνύει ότι οι εμπορικοί πάροχοι spyware έχουν εξελιχθεί σε παγκόσμιους παίκτες κυβερνοεπιχειρήσεων, με συνέπεια, τεχνογνωσία και σημαντικούς πόρους. Παρά τις κυρώσεις και τις αποκαλύψεις, η εταιρεία εξακολουθεί να βρίσκει τρόπους να δρα, να προσαρμόζεται και να παραμένει ένα από τα πλέον ανθεκτικά οικοσυστήματα κατασκοπευτικού λογισμικού.