ESET detectó campañas de vigilancia que utilizaron una nueva variante del software espía FinFisher, también conocido como FinSpy. FinFisher es un software espía que tiene amplias capacidades de espionaje, como vigilancia en tiempo real a través de cámaras web y micrófonos, keylogging y extracción de archivos. Lo que la distingue de otras herramientas de este tipo, sin embargo, son las controversias alrededor de sus implementaciones.
FinFisher se comercializa como herramienta destinada a agencias gubernamentales con fines de control y monitoreo en investigaciones, y se cree que también ha sido utilizada en regímenes opresivos. Su última versión incluye mejoras con el objetivo de ampliar sus capacidades de espionaje, mantenerse bajo el radar y evitar el análisis. La innovación más importante, sin embargo, es la forma en que la herramienta de vigilancia se entrega a los equipos objetivo.
Lo novedoso sobre las nuevas campañas en términos de distribución es el uso de un ataque en el cual se interceptan las comunicaciones de las potenciales víctimas, siendo probablemente un ISP el intermediario. Este vector se utilizó en dos de los países en los que los sistemas de ESET detectaron el último spyware de FinFisher; en los cinco países restantes, las campañas se valían de vectores de infección tradicionales. «En dos de las campañas, el spyware se ha propagado a través de un ataque con intermediario y creemos que los proveedores de Internet han desempeñado ese papel», explica Filip Kafka, el ESET Malware Analyst que realizó la investigación.
El ataque comienza con una alteración al sitio de descarga oficial de Whatsapp, Skype o VLC Player. Luego de que el usuario hace clic en el enlace de descarga, su navegador recibe un enlace modificado y es redirigido a un paquete de instalación troyanizado, alojado en el servidor del atacante. Cuando se descarga y ejecuta el programa, no solo instala la aplicación legítima que el usuario esperaba, sino también al spyware FinFisher.
«Durante nuestras investigaciones, encontramos una serie de indicadores que sugieren que la redirección está ocurriendo a nivel del servicio de un proveedor de Internet importante», comenta Filip Kafka. Según Kafka, estas campañas son las primeras en las que se ha dado a conocer públicamente la probable implicación de un importante proveedor de Internet en la difusión de malware. «Estas campañas FinFisher son sofisticados y sigilosos proyectos de vigilancia, sin precedentes en su combinación de métodos y alcance».
