A través de un análisis publicado por la firma de seguridad Talos, hemos podido saber detalles sobre PREDATOR. El cual es un spyware desarrollado por Cytrox. Se trata una empresa que forma parte de otra mucho más grande llamada Intellexa. La amenaza de este spyware fue detectada por el grupo de análisis de amenazas de Google, cuyo trabajo es hacer seguimiento de los ataques a la seguridad llevados a cabo por los diferentes estados en todo el mundo. Se trata de una aplicación que usa cinco errores de seguridad que le da acceso directo al contenido generado en las terminales Android de varios políticos y personalidades importantes.

Su radio de acción en el mundo es variado. De sus efectos del país que tenemos más conocimiento es Egipto. En concreto, entre las víctimas conocidas de este spyware se encuentra el líder de la oposición en dicho país, Ayman Nour, así como un periodista influyente en el mismo. El resto de naciones afectadas son: Armenia, Grecia, Indonesia, Madagascar, Omán, Arabia Saudita y Serbia.

 Un bypass de SELinux es una función crucial del spyware, que lo diferencia de los ladrones de información y troyanos de 150-300 dólares al mes que se venden en Telegram.

Cisco explica que Alien lo consigue abusando de los contextos de SELinux que determinan qué usuarios y qué nivel de información se permite en cada proceso y objeto del sistema, levantando las restricciones existentes.

Además, Alien escucha comandos "ioctl" (control de entrada/salida) para las comunicaciones de los componentes internos del spyware, que SELinux no inspecciona.

Por último, Alien guarda los datos robados y las grabaciones en un espacio de memoria compartido, luego los traslada al almacenamiento y finalmente los exfiltra a través de Predator. Este proceso no provoca violaciones de acceso y pasa desapercibido para SELinux.

El objetivo principal de PREDATOR y ALIEN son aquellas protecciones que lleva a cabo el componente SELINUX. El cual se encarga de hacer de cancerbero en la gran mayoría de sockets del sistema. Y por tanto guarda los diferentes canales de comunicación entre los diferentes procesos que se ejecutan en Android. Su objetivo son los audios grabados por los usuarios de las terminales y lo que hacen es almacenar cada uno de ellos desde la RAM al almacenamiento del sistema.

Interfaz usuario Predator:

¿La forma de hacerlo? Inyectar una nueva dirección en la UID en los procesos y hacer que este realice una transición a otro contexto, para confundir a SELinux  y que se asigne otro privilegio de acceso a dichos procesos y a la información a la que acceden. Con ello PREDATOR consigue al que se le asignen otros privilegios a cada uno de ellos.

Propuesta de Precios de Predator

Sin embargo, no son los dos únicos componentes, sino para que todo el esquema funcione al 100% hay otros dos procesos participantes que son clave para el que el software espía tenga éxito.

• El primero de ellos es Tcore, el cual se encarga de realizar las funciones de spyware principales de PREDATOR y tiene la capacidad de captar información de aplicaciones de mensajería instantánea como Signal, WhatsApp o Telegram.
• El segundo componente es Kmem, el cual le da acceso al Spyware al direccionamiento protegido sobre el que el sistema operativo ejecuta sus procesos. Lo que le permite a PREDATOR y ALIEN hacer su trabajo confundiendo a Android para que los confunda con procesos son del propio sistema.

El segundo punto es importante, ya que es lo que invisibiliza por completo al Spyware. Lo que ha permitido que durante mucho tiempo haya tenido éxito en obtener la información privada de las diferentes víctimas.

El cargador del spyware, Alien, comprueba si se ejecuta en un Samsung, Huawei, Oppo o Xiaomi y, si hay coincidencia, enumera de forma recursiva el contenido de los directorios que contienen datos de usuario de aplicaciones de correo electrónico, mensajería, redes sociales y navegador. 

También enumera la lista de contactos de la víctima y los archivos privados de las carpetas multimedia del usuario, incluidos audio, imágenes y vídeo.

 Fuentes:

https://blog.talosintelligence.com/mercenary-intellexa-predator/

https://elchapuzasinformatico.com/2023/05/predator-spyware/