Meta lên tiếng cảnh báo về 8 công ty phần mềm gián điệp đang nhắm mục tiêu vào thiết bị iOS, Android và Windows

Meta cho biết họ đã thực hiện một loạt bước để hạn chế hoạt động độc hại từ 8 công ty khác nhau có trụ sở tại Ý, Tây Ban Nha và Các Tiểu vương quốc Ả Rập Thống nhất (U.A.E.) hoạt động trong ngành cho thuê giám sát.

Những phát hiện này là một phần của Báo cáo mối đe dọa bất lợi trong quý 4 năm 2023. Phần mềm gián điệp nhắm mục tiêu vào các thiết bị iOS, Android và Windows.

Công ty cho biết: “Các phần mềm độc hại khác nhau của chúng bao gồm khả năng thu thập và truy cập thông tin thiết bị, vị trí, ảnh và phương tiện, danh bạ, lịch, email, SMS, mạng xã hội và ứng dụng nhắn tin cũng như kích hoạt chức năng micrô, máy ảnh và ảnh chụp màn hình”.

Tám công ty là Cy4Gate/ELT Group, RCS Labs, IPS Intelligence, Variston IT, TrueL IT, Protect Electronic Systems, Negg Group và Mollitiam Industries.

Theo Meta, các công ty này cũng tham gia vào hoạt động thu thập thông tin, kỹ thuật xã hội và lừa đảo nhắm mục tiêu vào nhiều nền tảng như Facebook, Instagram, X (trước đây là Twitter), YouTube, Skype, GitHub, Reddit, Google, LinkedIn, Quora, Tumblr, VK, Flickr, TikTok, SnapChat, Gettr, Viber, Twitch và Telegram.

Cụ thể, một mạng lưới gồm các nhân vật hư cấu được liên kết với RCS Labs, thuộc sở hữu của Cy4Gate, được cho là đã lừa người dùng cung cấp số điện thoại và địa chỉ email của họ, ngoài việc nhấp vào các liên kết không có thật để tiến hành trinh sát.

Một nhóm tài khoản Facebook và Instagram khác hiện đã bị xóa có liên quan đến nhà cung cấp phần mềm gián điệp Tây Ban Nha Variston IT đã được sử dụng để phát triển và thử nghiệm khai thác, bao gồm cả việc chia sẻ các liên kết độc hại. Tuần trước, có thông tin cho rằng công ty đang ngừng hoạt động.

Meta cũng cho biết họ đã xác định được các tài khoản được Negg Group sử dụng để kiểm tra việc phân phối phần mềm gián điệp của mình, cũng như bởi Mollitiam Industries, một công ty Tây Ban Nha quảng cáo dịch vụ thu thập dữ liệu và phần mềm gián điệp nhắm mục tiêu vào Windows, macOS và Android, để thu thập thông tin công khai.

Meta đã hành động trên các mạng từ Trung Quốc, Myanmar và Ukraine thể hiện hành vi phối hợp không xác thực (CIB) bằng cách xóa hơn 2.000 tài khoản, Trang và Nhóm khỏi Facebook và Instagram.

Trong khi cụm Trung Quốc nhắm mục tiêu đến khán giả Hoa Kỳ với nội dung liên quan đến chỉ trích chính sách đối ngoại của Hoa Kỳ đối với Đài Loan và Israel cũng như việc nước này ủng hộ Ukraine, thì mạng lưới có nguồn gốc từ Myanmar nhắm mục tiêu vào cư dân của họ bằng các bài báo gốc ca ngợi quân đội Miến Điện và chê bai các tổ chức vũ trang sắc tộc và các nhóm thiểu số.

Cụm thứ ba đáng chú ý vì sử dụng các Trang và Nhóm giả để đăng nội dung ủng hộ chính trị gia Ukraine Viktor Razvadovskyi, đồng thời chia sẻ "bình luận ủng hộ về chính phủ hiện tại và bình luận phê phán về phe đối lập" ở Kazakhstan.

Sự phát triển này diễn ra khi liên minh giữa chính phủ và các công ty công nghệ, bao gồm cả Meta, đã ký một thỏa thuận nhằm hạn chế việc lạm dụng phần mềm gián điệp thương mại để vi phạm nhân quyền.

Để đối phó, công ty đã giới thiệu các tính năng mới như kích hoạt Tính toàn vẹn luồng điều khiển (CFI) trên Messenger cho Android và cách ly bộ nhớ VoIP cho WhatsApp nhằm nỗ lực khiến việc khai thác khó khăn hơn và giảm bề mặt tấn công tổng thể.

Điều đó nói lên rằng, ngành giám sát tiếp tục phát triển mạnh dưới vô số hình thức bất ngờ. Tháng trước, 404 Media — dựa trên nghiên cứu trước đây của Hội đồng Tự do Dân sự Ireland (ICCL) vào tháng 11 năm 2023 — đã phát hiện một công cụ giám sát có tên là Patternz tận dụng dữ liệu quảng cáo đặt giá thầu theo thời gian thực (RTB) được thu thập từ các ứng dụng phổ biến như 9gag, Truecaller, và Kik để theo dõi thiết bị di động.

"Patternz cho phép các cơ quan an ninh quốc gia sử dụng dữ liệu lịch sử và quảng cáo do người dùng tạo theo thời gian thực để phát hiện, giám sát và dự đoán hành động của người dùng, các mối đe dọa bảo mật và sự bất thường dựa trên hành vi của người dùng, mô hình vị trí và đặc điểm sử dụng thiết bị di động, ISA, công ty Israel đứng sau sản phẩm này tuyên bố trên trang web của mình.

Sau đó vào tuần trước, Enea đã vạch trần một cuộc tấn công mạng di động chưa từng được biết đến trước đây có tên MMS Vân tay được cho là đã được NSO Group, nhà sản xuất Pegasus sử dụng. Thông tin chi tiết về kỹ thuật này đã được nêu trong hợp đồng năm 2015 giữa công ty Israel và cơ quan quản lý viễn thông Ghana.

Mặc dù phương pháp chính xác được sử dụng vẫn còn là điều bí ẩn nhưng công ty bảo mật viễn thông Thụy Điển nghi ngờ nó có thể liên quan đến việc sử dụng MM1_notification.REQ, một loại tin nhắn SMS đặc biệt gọi là SMS nhị phân để thông báo cho thiết bị nhận MMS đang chờ truy xuất từ ​​ Trung tâm Dịch vụ Nhắn tin Đa phương tiện (MMSC).

Sau đó, MMS được tìm nạp bằng MM1_retrieve.REQ và MM1_retrieve.RES, trước đây là yêu cầu HTTP GET tới địa chỉ URL có trong thông báo MM1_notification.REQ.

Điều đáng chú ý ở phương pháp này là thông tin thiết bị người dùng như Tác nhân người dùng (khác với chuỗi Tác nhân người dùng của trình duyệt web) và x-wap-profile được nhúng trong yêu cầu GET, do đó hoạt động như một loại dấu vân tay.

"Tác nhân người dùng (MMS) là một chuỗi thường xác định hệ điều hành và thiết bị", Enea nói. "x-wap-profile trỏ tới tệp UProf (Hồ sơ tác nhân người dùng) mô tả các khả năng của điện thoại di động."

Kẻ đe dọa đang tìm cách triển khai phần mềm gián điệp có thể sử dụng thông tin này để khai thác các lỗ hổng cụ thể, điều chỉnh tải độc hại của chúng cho phù hợp với thiết bị mục tiêu hoặc thậm chí tạo ra các chiến dịch lừa đảo hiệu quả hơn. Điều đó nói lên rằng, không có bằng chứng nào cho thấy lỗ hổng bảo mật này đã bị khai thác một cách tự nhiên trong những tháng gần đây.

Hương – Theo TheHackerNews

​

​