Une société de surveillance privée malveillante a vendu l'accès à près d'une demi-douzaine de failles de sécurité importantes dans Chrome et Android l'année dernière à des pirates informatiques affiliés à des gouvernements, a révélé Google.

Selon le Threat Analysis Group (TAG) de Google, au moins huit gouvernements dans le monde ont acheté un ensemble de 5 failles Android de type “zero-day” à une société appelée Cytrox et les utilisent pour installer des logiciels d'espionnage sur les téléphones portables de leurs cibles. Selon un rapport récent de Google, cette évolution met en évidence la sophistication des offres de surveillance disponibles sur le marché.

Ces failles font donc vraisemblablement partie des 58 failles zero-day qu’avait repérées Google en 2021. Cependant, comme l'indique Maddie Stone dans une récente mise à jour du Projet Zero de Google, « la forte augmentation des failles 0-day dans la nature en 2021 est due à une détection et à une divulgation accrues de ces failles 0-day, plutôt qu'à une simple augmentation de leur utilisation ».

Comment Cytrox installait-il le logiciel espion sur les téléphones des victimes ?

Bien que nous ne sachions pas grand-chose sur l’entreprise Cytrox, des chercheurs ont dévoilé que le siège est à Skopje, en Macédoine du Nord, et que les logiciels espions utilisés par la société sont capables d'enregistrer des données audio, d'ajouter des certificats d'autorité de certification et de cacher des applications.

D’après Google, les victimes ont reçu par courrier électronique des liens vers un faux site Web qui installait un logiciel espion appelé Predator, un programme similaire à Pegasus de NSO Group, capable d'activer le microphone et d'effectuer d'autres actes de surveillance non désirés. Outre l'écoute des conversations, le logiciel malveillant de Cytrox peut également détourner les journaux d'appels et les textos, tout en contrôlant les notifications pour se soustraire à la détection.

Cytrox aurait conditionné les failles permettant d’accéder aux smartphones Android et les aurait vendus à différents acteurs soutenus par des gouvernements en Égypte, en Arménie, en Grèce, à Madagascar, en Côte d'Ivoire, en Serbie, en Espagne et en Indonésie, qui ont à leur tour utilisé les bugs dans au moins trois campagnes différentes entre août et octobre 2021.

En décembre 2021, Meta avait révélé qu'elle avait pris des mesures pour supprimer environ 300 comptes sur Facebook et Instagram que l'entreprise Cytrox utilisait dans le cadre de ses campagnes de compromission.

Source : Google