LightSpy, spyware collegato in passato ad hacker sostenuti dalla Cina, ha ampliato il proprio raggio d’azione dalla Cina continentale a 13 Paesi, compresi gli Stati Uniti e diverse nazioni europee. I ricercatori di Arctic Wolf hanno individuato nuove capacità offensive, progettate non soltanto per sottrarre grandi quantità di informazioni, ma anche per cancellare dati e rendere inutilizzabili da remoto i dispositivi compromessi.
Scoperto per la prima volta nel 2018, LightSpy si sarebbe evoluto in una piattaforma commerciale gestita da un unico attore, con un’offerta rivolta a governi, imprese e organizzazioni militari. L’infrastruttura presenta elementi tipici di un prodotto strutturato: branding personalizzato, sistemi di fatturazione e dimostrazioni destinate ai potenziali clienti. Lo spyware assume così i contorni di un servizio vendibile e adattabile alle esigenze di soggetti differenti.
La piattaforma adotta un’architettura modulare e può colpire numerose categorie di dispositivi. Tra i bersagli figurano smartphone, prodotti Apple, server Linux e computer Windows. Attraverso exploit specifici per ciascun ambiente, chi controlla LightSpy può raccogliere informazioni sensibili come la posizione precisa della vittima, i messaggi delle chat, le registrazioni dello schermo e le password memorizzate.
Alle funzioni di sorveglianza si aggiunge una componente distruttiva. Il codice può infatti eseguire la cancellazione remota dei dati e danneggiare il dispositivo attaccato fino a impedirne l’utilizzo. La combinazione tra raccolta invisibile delle informazioni e possibilità di sabotaggio offre agli operatori una leva ulteriore: dopo l’accesso, l’obiettivo può essere osservato, privato dei propri dati oppure escluso completamente dal sistema compromesso.
L’elemento finora inedito riguarda l’infezione dei router. Arctic Wolf non aveva precedentemente osservato LightSpy operare su questi apparati, che occupano una posizione centrale nelle reti domestiche e aziendali. Una volta compromesso il router, gli aggressori possono ottenere visibilità sugli altri dispositivi collegati alla stessa rete e tentare di raggiungerli, ampliando l’area esposta oltre il singolo terminale inizialmente attaccato.
Alcuni dei router compromessi risultano associati a Paesi membri della NATO. L’infrastruttura complessiva comprende inoltre una rete di almeno 117 server distribuiti in più nazioni. Questa estensione fornisce alla piattaforma una base operativa internazionale e mostra come le campagne non siano più circoscritte al territorio nel quale LightSpy era stato inizialmente individuato.
L’attribuzione dell’attività più recente a un appaltatore cinese è passata anche da un errore di sicurezza operativa. Uno degli operatori avrebbe utilizzato il pannello di amministrazione di LightSpy per effettuare un ordine presso Kentucky Fried Chicken, inserendo il proprio nome reale e l’indirizzo dell’ufficio. I ricercatori hanno sfruttato questa traccia per collegare l’operazione alla persona e alla struttura coinvolte.
Il quadro descritto da Arctic Wolf mostra uno spyware capace di spostarsi tra sistemi operativi, server e infrastrutture di rete, sostenuto da strumenti commerciali per presentazione e vendita. Per imprese e utenti, la compromissione del router allarga la superficie da controllare: proteggere soltanto smartphone e computer non basta quando il punto di accesso alla rete può diventare uno strumento di osservazione, propagazione e distruzione dei dati.