Fabrikanten van commerciële spionagesoftware, zoals het Israëlische NSO, verdedigen hun controversiële producten door te bezweren dat ze alleen zaken doen met opsporingsdiensten in landen die de mensenrechten respecteren. Daar viel altijd al veel op af te dingen: de afgelopen jaren werd bijvoorbeeld duidelijk dat afnemers als Saoedi-Arabië en Oeganda NSO’s Pegasus-software gebruikten tegen activisten, journalisten, politici en zakenlieden.
Daar komt nu de vraag bij of de spywarebedrijven eigenlijk wel grip hebben op de verspreiding van hun technologie. In een donderdag gepubliceerde technische analyse laten beveiligingsonderzoekers van Google overtuigend zien dat de omstreden technologie van NSO en zijn in Ierland gevestigde branchegenoot Intellexa in handen is gekomen van hackers die worden aangestuurd door de Russische buitenlandse inlichtingendienst SVR, een risico waar critici van de spyware-industrie al langer op wijzen.
Cozy Bear
De analisten onderzochten aanvallen van de beruchte hackersgroep die bekend staat als Cozy Bear, APT29 of Midnight Blizzard, en die onder meer naam maakte door een digitale inbraak bij de Amerikaanse Democratische partij in de aanloop naar de presidentsverkiezingen van 2016.
De hackers richtten zich bij de nu ontlede aanvallen op websites van de regering en het ministerie van Buitenlandse Zaken van Mongolië. Daarin werd code verstopt die inlogcookies voor diensten als LinkedIn, Gmail of Facebook kon onderscheppen van bezoekende iPhone- of Androidgebruikers. De aanvallers zouden daarmee toegang kunnen krijgen tot de accounts van hun slachtoffers.
Zo’n aanval wordt een watering hole attack genoemd: de hackers verstoppen hun kwaadaardige software op een website waarvan ze verwachten dat hun eigenlijke doelwitten die zullen bezoeken. Wie de Russische hackers precies op de korrel hadden is onduidelijk, maar „gezien de getroffen websites is het aannemelijk dat het om Mongools overheidspersoneel gaat”, zegt een van de betrokken onderzoekers tegen nieuwssite Techcrunch.
Sanctielijst
Opvallend aan de hackcampagne, tussen november 2023 en afgelopen juli, is dat die bij iedere nieuwe aanval gebruikmaakte van computercode die volledig of nagenoeg identiek is aan technieken die kort daarvoor waren ingezet door de commerciële spywaremakers Intellexa en NSO – twee bedrijven die vanwege hun activiteiten door de Verenigde Staten op de sanctielijst zijn geplaatst.
De onderzoekers zeggen niet te weten hoe de Russische hackers aan die code zijn gekomen. Ze kunnen die hebben gestolen bij een digitale inbraak bij de fabrikanten of bij beveiligingsbedrijven die de spyware onderzoeken, of hebben gekocht of gekregen van de makers of van onderzoekers die een dubbelrol speelden.
Lees ook
Pegasus verschaft zichzelf toegang tot alles op je mobiel
In ieder geval, schrijft onderzoeker Clement Lecigne, „onderstreept ons onderzoek de proliferatie van technieken die zijn ontwikkeld door de commerciële surveillance-industrie naar gevaarlijke actoren”.
Het aan de Britse inlichtingendienst GCHQ gelieerde National Cyber Security Centre waarschuwde vorig jaar ook al voor het gevaar dat commerciële spyware of hacktechnieken in verkeerde handen kunnen vallen.
