Tiết lộ lỗ hổng Zero-Day và Vector dựa trên quảng cáo để phát tán Predator

[T-X]

Một luật sư nhân quyền từ tỉnh Balochistan của Pakistan đã nhận được một liên kết đáng ngờ trên WhatsApp từ một số điện thoại không xác định, đánh dấu lần đầu tiên một thành viên xã hội dân sự tại quốc gia này bị phần mềm gián điệp Predator của Intellexa nhắm mục tiêu, Tổ chức Ân xá Quốc tế cho biết trong một báo cáo.

Tổ chức phi lợi nhuận này cho biết liên kết này là "một nỗ lực tấn công của Predator dựa trên hành vi kỹ thuật của máy chủ lây nhiễm và các đặc điểm cụ thể của liên kết lây nhiễm một lần, phù hợp với các liên kết Predator 1-click đã quan sát trước đó". Pakistan đã bác bỏ các cáo buộc, tuyên bố "không hề có chút sự thật nào trong đó".

Những phát hiện này đến từ một cuộc điều tra chung mới được công bố với sự hợp tác của tờ báo Israel Haaretz, trang tin tức Hy Lạp Inside Story và trang công nghệ Thụy Sĩ Inside IT. Cuộc điều tra dựa trên các tài liệu và thông tin khác bị rò rỉ từ công ty, bao gồm tài liệu nội bộ, tài liệu bán hàng và tiếp thị, và video đào tạo.

Intellexa là nhà sản xuất phần mềm gián điệp đánh thuê Predator, tương tự như Pegasus của NSO Group, có thể bí mật thu thập dữ liệu nhạy cảm từ thiết bị Android và iOS của mục tiêu mà họ không hề hay biết. Các thông tin rò rỉ cho thấy Predator cũng đã được tiếp thị với các tên gọi khác nhau như Helios, Nova, Green Arrow và Red Arrow.

Thông thường, điều này liên quan đến việc sử dụng các vectơ truy cập ban đầu khác nhau, chẳng hạn như các nền tảng nhắn tin, lợi dụng các lỗ hổng chưa được tiết lộ trước đó để lén lút cài đặt phần mềm gián điệp thông qua phương pháp không cần nhấp chuột hoặc chỉ cần nhấp chuột. Do đó, cuộc tấn công đòi hỏi phải mở một liên kết độc hại trên điện thoại mục tiêu để kích hoạt lây nhiễm.

Nếu nạn nhân nhấp vào liên kết chứa mã độc, một lỗ hổng bảo mật trên trình duyệt Google Chrome (trên Android) hoặc Apple Safari (trên iOS) sẽ được tải xuống để truy cập ban đầu vào thiết bị và tải xuống phần mềm gián điệp chính. Theo dữ liệu từ Google Threat Intelligence Group (GTIG), Intellexa đã được liên kết với việc khai thác các lỗ hổng zero-day sau, được phát triển nội bộ hoặc mua từ các đơn vị bên ngoài:

    CVE-2025-48543 - Sử dụng sau khi giải phóng trong Android Runtime (Google)
    CVE-2025-6554 - Nhầm lẫn kiểu trong V8 (Google Chrome)
    CVE-2023-41993 - WebKit JIT RCE (Apple Safari)
    CVE-2023-41992 - Sử dụng IPC hạt nhân sau khi giải phóng (Apple)
    CVE-2023-41991 - Bỏ qua xác thực chứng chỉ trong khuôn khổ Bảo mật (Apple)
    CVE-2024-4610 - Sử dụng sau khi giải phóng trong GPU Bifrost và Trình điều khiển hạt nhân GPU Valhall (Arm)
    CVE-2023-4762 - Nhầm lẫn kiểu trong V8 (Google Chrome)
    CVE-2023-3079 - Nhầm lẫn kiểu trong V8 (Google Chrome)
    CVE-2023-2136 - Tràn số nguyên trong Skia (Google Chrome)
    CVE-2023-2033 - Sử dụng sau khi giải phóng trong V8 (Google Chrome)
    CVE-2021-38003 - Triển khai không phù hợp trong V8 (Google Chrome)
    CVE-2021-38000 - Xác thực không đủ dữ liệu đầu vào không đáng tin cậy trong Intents (Google Chrome)
    CVE-2021-37976 - Rò rỉ thông tin trong memory_instrumentation (Google Chrome)
    CVE-2021-37973 - Sử dụng sau khi giải phóng trong Cổng thông tin (Google Chrome)
    CVE-2021-1048 - Sử dụng sau khi giải phóng trong Nhân Android (Google)

Một chuỗi khai thác lỗ hổng zero-day trên iOS tương tự được sử dụng để tấn công các mục tiêu ở Ai Cập vào năm 2023 liên quan đến việc lợi dụng lỗ hổng CVE-2023-41993 và một nền tảng có tên JSKit để thực thi mã gốc. GTIG cho biết họ đã quan sát thấy cùng một lỗ hổng và nền tảng được sử dụng trong một cuộc tấn công watering hole do tin tặc được chính phủ Nga hậu thuẫn nhắm vào các trang web của chính phủ Mông Cổ, làm dấy lên khả năng các lỗ hổng này có nguồn gốc từ bên thứ ba.

Google giải thích : "Khung JSKit được bảo trì tốt, hỗ trợ nhiều phiên bản iOS và đủ linh hoạt để hỗ trợ các kỹ thuật bỏ qua Mã Xác thực Con trỏ (PAC) và thực thi mã khác nhau. Khung này có thể phân tích cú pháp các tệp nhị phân Mach-O trong bộ nhớ để giải quyết các ký hiệu tùy chỉnh và cuối cùng có thể ánh xạ và thực thi thủ công các tệp nhị phân Mach-O trực tiếp từ bộ nhớ."

Sau khi khai thác lỗ hổng CVE-2023-41993, cuộc tấn công chuyển sang giai đoạn thứ hai để thoát khỏi hộp cát Safari và thực thi tải trọng giai đoạn thứ ba không đáng tin cậy có tên là PREYHUNTER bằng cách lợi dụng lỗ hổng CVE-2023-41991 và CVE-2023-41992. PREYHUNTER bao gồm hai mô-đun -

    Watcher, công cụ giám sát sự cố, đảm bảo rằng thiết bị bị nhiễm không biểu hiện bất kỳ hành vi đáng ngờ nào và tiến hành chấm dứt quá trình khai thác nếu phát hiện các kiểu mẫu như vậy
    Helper, giao tiếp với các phần khác của khai thác thông qua một ổ cắm Unix và triển khai các móc để ghi lại các cuộc trò chuyện VoIP, chạy một keylogger và chụp ảnh từ camera

Intellexa cũng được cho là đang sử dụng một khuôn khổ tùy chỉnh giúp khai thác nhiều lỗ hổng V8 khác nhau trong Chrome – tức là CVE-2021-38003, CVE-2023-2033, CVE-2023-3079, CVE-2023-4762 và CVE-2025-6554 – với việc lạm dụng CVE-2025-6554 được phát hiện vào tháng 6 năm 2025 tại Ả Rập Xê Út.

Sau khi được cài đặt, công cụ này sẽ thu thập dữ liệu từ các ứng dụng nhắn tin, cuộc gọi, email, vị trí thiết bị, ảnh chụp màn hình, mật khẩu và các thông tin khác trên thiết bị, rồi chuyển chúng đến một máy chủ bên ngoài đặt tại quốc gia của khách hàng. Predator cũng được trang bị khả năng kích hoạt micrô của thiết bị để thu âm thanh xung quanh một cách im lặng và tận dụng camera để chụp ảnh.

Công ty, cùng với một số giám đốc điều hành chủ chốt, đã phải chịu lệnh trừng phạt của Hoa Kỳ vào năm ngoái vì phát triển và phân phối công cụ giám sát và làm suy yếu các quyền tự do dân sự. Bất chấp việc tiếp tục báo cáo công khai, Insikt Group của Recorded Future đã tiết lộ vào tháng 6 năm 2025 rằng họ đã phát hiện hoạt động liên quan đến Predator ở hơn một chục quốc gia, chủ yếu ở Châu Phi, cho thấy "nhu cầu ngày càng tăng đối với các công cụ phần mềm gián điệp".

Có lẽ tiết lộ quan trọng nhất là những người làm việc tại Intellexa được cho là có khả năng truy cập từ xa vào hệ thống giám sát của ít nhất một số khách hàng, bao gồm cả những khách hàng đặt tại cơ sở của chính phủ, bằng TeamViewer.

Jurre van Bergen, chuyên gia công nghệ tại Phòng thí nghiệm An ninh Quốc tế của Tổ chức Ân xá Quốc tế, cho biết trong một thông cáo báo chí: "Thực tế là, ít nhất trong một số trường hợp, Intellexa dường như vẫn có khả năng truy cập từ xa vào nhật ký khách hàng của Predator - cho phép nhân viên công ty xem thông tin chi tiết về các hoạt động giám sát và các cá nhân bị nhắm mục tiêu đặt ra câu hỏi về quy trình thẩm định nhân quyền của chính công ty này".

"Nếu một công ty phần mềm gián điệp đánh thuê bị phát hiện có liên quan trực tiếp đến hoạt động của sản phẩm, thì theo tiêu chuẩn nhân quyền, họ có thể phải chịu trách nhiệm pháp lý trong trường hợp sử dụng sai mục đích và nếu có bất kỳ hành vi vi phạm nhân quyền nào xảy ra do việc sử dụng phần mềm gián điệp."

Báo cáo cũng nêu bật các vectơ phân phối khác nhau được Intellexa áp dụng để kích hoạt việc mở liên kết độc hại mà không cần mục tiêu phải nhấp vào thủ công. Điều này bao gồm các vectơ chiến thuật như Triton (được tiết lộ vào tháng 10 năm 2023), Thor và Oberon (cả hai đều chưa được biết đến ở giai đoạn này), cũng như các vectơ chiến lược được phân phối từ xa qua internet hoặc mạng di động.

Ba vectơ chiến lược được liệt kê dưới đây:

    Mars và Jupiter là các hệ thống tiêm mã độc vào mạng yêu cầu sự hợp tác giữa khách hàng Predator và nhà cung cấp dịch vụ di động hoặc nhà cung cấp dịch vụ internet (ISP) của nạn nhân để dàn dựng một cuộc tấn công ở giữa (AitM) bằng cách đợi mục tiêu mở một trang web HTTP không được mã hóa để kích hoạt nhiễm trùng hoặc khi mục tiêu truy cập một trang web HTTPS trong nước đã bị chặn bằng chứng chỉ TLS hợp lệ.
    Aladdin, khai thác hệ sinh thái quảng cáo di động để thực hiện một cuộc tấn công không cần nhấp chuột, được kích hoạt ngay khi người dùng xem quảng cáo được thiết kế riêng. Hệ thống này được cho là đã được phát triển từ ít nhất năm 2022.

"Hệ thống Aladdin lây nhiễm điện thoại của mục tiêu bằng cách buộc một quảng cáo độc hại do kẻ tấn công tạo ra phải hiển thị trên điện thoại của mục tiêu", Amnesty cho biết. "Quảng cáo độc hại này có thể được hiển thị trên bất kỳ trang web nào hiển thị quảng cáo."

Google cho biết việc sử dụng quảng cáo độc hại trên các nền tảng của bên thứ ba là một nỗ lực lợi dụng hệ sinh thái quảng cáo để lấy dấu vân tay người dùng và chuyển hướng người dùng mục tiêu đến máy chủ phân phối khai thác của Intellexa. Công ty cũng cho biết đã hợp tác với các đối tác khác để xác định các công ty mà Intellexa tạo ra để tạo quảng cáo và đóng các tài khoản đó.

Trong một báo cáo riêng, Recorded Future cho biết họ đã phát hiện ra hai công ty có tên Pulse Advertise và MorningStar TEC dường như đang hoạt động trong lĩnh vực quảng cáo và có khả năng liên quan đến vectơ lây nhiễm Aladdin. Hơn nữa, có bằng chứng cho thấy khách hàng của Intellexa có trụ sở tại Ả Rập Xê Út, Kazakhstan, Angola và Mông Cổ vẫn đang giao tiếp với cơ sở hạ tầng đa tầng của Predator.

"Ngược lại, khách hàng ở Botswana, Trinidad và Tobago và Ai Cập đã ngừng liên lạc vào tháng 6, tháng 5 và tháng 3 năm 2025", báo cáo cho biết thêm. "Điều này có thể cho thấy các thực thể này đã ngừng sử dụng phần mềm gián điệp Predator vào khoảng thời gian đó; tuy nhiên, cũng có khả năng họ chỉ đơn giản là sửa đổi hoặc di chuyển các thiết lập cơ sở hạ tầng của mình."