Google atribui mais de 60 zero-day a fornecedores comerciais de spyware

A Google atribuiu mais de 60 vulnerabilidades de zero-day de produtos da Apple, Adobe, Google, Microsoft e Mozilla que surgiram desde 2016 a fornecedores comerciais de spyware, segundo um relatório publicado pela empresa esta semana.

O relatório recente da Big Tech divulga informações sobre as operações de empresas que ajudam os governos na instalação de spyware em dispositivos. Os fornecedores de spyware comercial afirmam que os seus produtos e serviços são utilizados meramente para vigilância legal, nomeadamente para fins de aplicação da lei. No entanto, diversas investigações evidenciam que, na verdade, estes são igualmente utilizados por regimes opressivos com vista a atingir opositores políticos, jornalistas e defensores dos direitos humanos.

Os fornecedores comerciais de spyware estão preparados para pagar milhões de dólares por explorações que possam dar-lhes controlo total dos dispositivos, especialmente Android e iOS; porém, estas empresas também podem ganhar milhões com um único cliente. 

Além do spyware em si, o cliente recebe o mecanismo de entrega inicial e as explorações necessárias, infraestrutura de comando e controlo, assim como ferramentas de organização dos dados exfiltrados de dispositivos comprometidos.

Atualmente, o Threat Analysis Group (TAG) do Google está a acompanhar cerca de 40 fornecedores comerciais de spyware que desenvolvem e vendem exploits e malware para governos. No seu último relatório, a empresa nomeou 11 destes fornecedores: Candiru, Cy4Gate, DSIRF, Intellexa, Negg, NSO Group, PARS Defense, QuaDream, RCS Lab, Variston e Wintego Systems.

Em 2023, o TAG descobriu um total de 25 vulnerabilidades exploradas, das quais 20 foram usadas por fornecedores de spyware. Estas empresas estão também por trás de 35 dos 72 zero-day explorados contra produtos da Google desde meados de 2014.

A Google sublinhou que estas são apenas as explorações que foram descobertas, estimando que o número real de vulnerabilidades exploradas é provavelmente maior. Isto porque existem diversas explorações que poderão ainda não ter sido detetadas ou que ainda não foram atribuídas a fornecedores de spyware.

Geralmente, quando a Google e a Apple divulgam correções de vulnerabilidades zero-day, os seus avisos informam os clientes sobre a exploração ativa, mas não fornecem nenhuma informação sobre os próprios ataques ou os invasores. O novo relatório da Google assinala a primeira vez em que várias destas vulnerabilidades zero-day foram atribuídas a fornecedores específicos de spyware.