Một luật sư nhân quyền từ tỉnh Balochistan của Pakistan đã nhận được một liên kết đáng ngờ trên WhatsApp từ một số không xác định. Đây là lần đầu tiên một thành viên xã hội dân sự tại quốc gia này bị nhắm mục tiêu bởi Predator spyware của Intellexa, theo báo cáo của Amnesty International.
Tổ chức phi lợi nhuận này cho biết, liên kết đó là "một nỗ lực tấn công Predator dựa trên hành vi kỹ thuật của máy chủ lây nhiễm và các đặc điểm cụ thể của liên kết lây nhiễm một lần, phù hợp với các liên kết 1-click của Predator đã được quan sát trước đây." Pakistan đã bác bỏ các cáo buộc này, tuyên bố "không có một chút sự thật nào trong đó."
Những phát hiện này đến từ một cuộc điều tra chung mới được công bố với sự hợp tác của báo Haaretz (Israel), trang tin Inside Story (Hy Lạp) và trang công nghệ Inside IT (Thụy Sĩ). Nó dựa trên các tài liệu và vật liệu khác bị rò rỉ từ công ty, bao gồm tài liệu nội bộ, tài liệu bán hàng và tiếp thị, cùng các video đào tạo.
Predator Spyware và Các Biến Thể
Intellexa là nhà sản xuất một công cụ spyware lính đánh thuê có tên Predator, tương tự như Pegasus của NSO Group, có thể bí mật thu thập dữ liệu nhạy cảm từ các thiết bị Android và iOS của nạn nhân mà họ không hề hay biết. Các thông tin rò rỉ cho thấy Predator cũng đã được tiếp thị dưới các tên Helios, Nova, Green Arrow và Red Arrow.
Thông thường, điều này liên quan đến việc sử dụng các initial access vectors khác nhau như các nền tảng nhắn tin để khai thác các lỗ hổng chưa được tiết lộ trước đây nhằm cài đặt spyware một cách lén lút thông qua phương pháp zero-click hoặc 1-click. Do đó, cuộc tấn công đòi hỏi một liên kết độc hại phải được mở trên điện thoại của nạn nhân để kích hoạt lây nhiễm.
Khai Thác Zero-Day của Intellexa
Nếu nạn nhân nhấp vào liên kết chứa mã độc, một browser exploit dành cho Google Chrome (trên Android) hoặc Apple Safari (trên iOS) sẽ được tải để giành quyền initial access vào thiết bị và tải xuống main spyware payload. Theo dữ liệu từ Google Threat Intelligence Group (GTIG), Intellexa đã được liên kết với việc khai thác các zero-day sau, được phát triển nội bộ hoặc mua từ các thực thể bên ngoài:
- CVE-2025-48543 - Use-after-free trong Android Runtime (Google)
- CVE-2025-6554 - Type confusion trong V8 (Google Chrome)
- CVE-2023-41993 - WebKit JIT RCE (Apple Safari)
- CVE-2023-41992 - Kernel IPC Use-After-Free (Apple)
- CVE-2023-41991 - Certificate validation bypass trong Security framework (Apple)
- CVE-2024-4610 - Use-after-free trong Bifrost GPU và Valhall GPU Kernel Driver (Arm)
- CVE-2023-4762 - Type confusion trong V8 (Google Chrome)
- CVE-2023-3079 - Type Confusion trong V8 (Google Chrome)
- CVE-2023-2136 - Integer overflow trong Skia (Google Chrome)
- CVE-2023-2033 - Use-After-Free trong V8 (Google Chrome)
- CVE-2021-38003 - Inappropriate implementation trong V8 (Google Chrome)
- CVE-2021-38000 - Insufficient validation of untrusted input trong Intents (Google Chrome)
- CVE-2021-37976 - Information leak trong memory_instrumentation (Google Chrome)
- CVE-2021-37973 - Use-after-free trong Portals (Google Chrome)
- CVE-2021-1048 - Use-After-Free trong Android Kernel (Google)
Một chuỗi exploit zero-day trên iOS được sử dụng để chống lại các mục tiêu ở Ai Cập vào năm 2023 liên quan đến việc tận dụng CVE-2023-41993 và một framework tên là JSKit để thực hiện native code execution. GTIG cho biết họ đã quan sát thấy cùng một exploit và framework này được sử dụng trong một watering hole attack do các hacker được chính phủ Nga hậu thuẫn dàn dựng chống lại các trang web của chính phủ Mông Cổ, làm dấy lên khả năng các exploit này đang được lấy từ một bên thứ ba.
"Framework JSKit được duy trì tốt, hỗ trợ nhiều phiên bản iOS và đủ mô-đun để hỗ trợ các kỹ thuật PAC (Pointer Authentication Code) bypass và code execution khác nhau," Google giải thích. "Framework có thể phân tích cú pháp Mach-O binaries trong bộ nhớ để giải quyết các custom symbol và cuối cùng có thể tự động map và thực thi Mach-O binaries trực tiếp từ bộ nhớ."
PREYHUNTER Payload
Sau khi khai thác CVE-2023-41993, cuộc tấn công chuyển sang giai đoạn thứ hai để thoát khỏi Safari sandbox và thực thi một third-stage payload không đáng tin cậy được gọi là PREYHUNTER bằng cách tận dụng CVE-2023-41991 và CVE-2023-41992. PREYHUNTER bao gồm hai module:
- Watcher, giám sát các sự cố, đảm bảo thiết bị bị lây nhiễm không có bất kỳ hành vi đáng ngờ nào và tiến hành chấm dứt quá trình exploitation nếu phát hiện các mẫu như vậy.
- Helper, giao tiếp với các phần khác của exploit thông qua một Unix socket và triển khai các hook để ghi lại các cuộc trò chuyện VoIP, chạy một keylogger và chụp ảnh từ camera.
Intellexa cũng được cho là đang sử dụng một custom framework giúp khai thác các lỗ hổng V8 khác nhau trong Chrome – tức là CVE-2021-38003, CVE-2023-2033, CVE-2023-3079, CVE-2023-4762 và CVE-2025-6554 – với việc lạm dụng CVE-2025-6554 đã được quan sát vào tháng 6 năm 2025 tại Ả Rập Saudi.
Khả Năng Thu Thập Dữ Liệu và Biện Pháp Trừng Phạt
Khi công cụ được cài đặt, nó sẽ thu thập dữ liệu từ các ứng dụng nhắn tin, cuộc gọi, email, vị trí thiết bị, ảnh chụp màn hình, mật khẩu và các thông tin khác trên thiết bị, sau đó exfiltrate chúng đến một máy chủ bên ngoài được đặt vật lý tại quốc gia của khách hàng. Predator cũng được trang bị khả năng kích hoạt microphone của thiết bị để ghi lại âm thanh xung quanh một cách im lặng và tận dụng camera để chụp ảnh.
Công ty, cùng với một số giám đốc điều hành chủ chốt, đã bị áp đặt các lệnh trừng phạt của Hoa Kỳ vào năm ngoái vì đã phát triển và phân phối công cụ giám sát, đồng thời làm suy yếu quyền tự do dân sự. Mặc dù các báo cáo công khai tiếp tục được đưa ra, Insikt Group của Recorded Future đã tiết lộ vào tháng 6 năm 2025 rằng họ đã phát hiện hoạt động liên quan đến Predator ở hơn một chục quốc gia, chủ yếu ở Châu Phi, cho thấy "nhu cầu ngày càng tăng đối với các công cụ spyware."
Truy Cập Từ Xa và Các Delivery Vectors
Có lẽ tiết lộ quan trọng nhất là những người làm việc tại Intellexa được cho là có khả năng truy cập từ xa vào các hệ thống giám sát của ít nhất một số khách hàng của họ, bao gồm cả những hệ thống đặt tại cơ sở của các khách hàng chính phủ, sử dụng TeamViewer.
"Thực tế là, ít nhất trong một số trường hợp, Intellexa dường như đã giữ lại khả năng truy cập từ xa vào nhật ký khách hàng của Predator – cho phép nhân viên công ty xem chi tiết các hoạt động giám sát và cá nhân bị nhắm mục tiêu – đặt ra câu hỏi về các quy trình thẩm định nhân quyền của chính họ," Jurre van Bergen, nhà công nghệ tại Amnesty International Security Lab, cho biết trong một thông cáo báo chí.
"Nếu một công ty spyware lính đánh thuê được phát hiện có liên quan trực tiếp đến hoạt động sản phẩm của mình, thì theo tiêu chuẩn nhân quyền, điều đó có thể khiến họ phải chịu trách nhiệm pháp lý trong các trường hợp lạm dụng và nếu bất kỳ vi phạm nhân quyền nào gây ra bởi việc sử dụng spyware."
Báo cáo cũng nhấn mạnh các delivery vectors khác nhau được Intellexa áp dụng để kích hoạt việc mở liên kết độc hại mà không cần mục tiêu phải nhấp thủ công. Điều này bao gồm các tactical vectors như Triton (được tiết lộ vào tháng 10 năm 2023), Thor và Oberon (cả hai đều chưa được biết đến ở giai đoạn này), cũng như các strategic vectors được phân phối từ xa qua internet hoặc mạng di động.
Các Strategic Vectors Chính
Ba strategic vectors được liệt kê dưới đây:
- Mars và Jupiter, là các hệ thống network injection yêu cầu sự hợp tác giữa khách hàng Predator và nhà mạng di động hoặc nhà cung cấp dịch vụ internet (ISP) của nạn nhân để dàn dựng một cuộc tấn công adversary-in-the-middle (AitM) bằng cách chờ mục tiêu mở một trang web HTTP không được mã hóa để kích hoạt lây nhiễm hoặc khi mục tiêu truy cập một trang web HTTPS trong nước đã bị chặn bằng các TLS certificates hợp lệ.
- Aladdin, khai thác hệ sinh thái quảng cáo di động để thực hiện một cuộc tấn công zero-click được kích hoạt chỉ khi xem quảng cáo được tạo đặc biệt. Hệ thống này được cho là đã được phát triển từ ít nhất năm 2022.
"Hệ thống Aladdin lây nhiễm vào điện thoại của mục tiêu bằng cách buộc một quảng cáo độc hại do kẻ tấn công tạo ra phải hiển thị trên điện thoại của mục tiêu," Amnesty cho biết. "Quảng cáo độc hại này có thể được phân phát trên bất kỳ trang web nào hiển thị quảng cáo."
Phát Hiện Mới Từ Google và Recorded Future
Google cho biết việc sử dụng quảng cáo độc hại trên các nền tảng bên thứ ba là một nỗ lực lạm dụng hệ sinh thái quảng cáo để fingerprinting người dùng và chuyển hướng người dùng mục tiêu đến các exploit delivery servers của Intellexa. Google cũng cho biết họ đã làm việc với các đối tác khác để xác định các công ty mà Intellexa đã tạo ra để tạo quảng cáo và đóng các tài khoản đó.
Trong một báo cáo riêng, Recorded Future cho biết họ đã phát hiện hai công ty tên là Pulse Advertise và MorningStar TEC dường như đang hoạt động trong lĩnh vực quảng cáo và có khả năng liên quan đến Aladdin infection vector. Hơn nữa, có bằng chứng cho thấy các khách hàng của Intellexa ở Ả Rập Saudi, Kazakhstan, Angola và Mông Cổ vẫn đang giao tiếp với multi-tiered infrastructure của Predator.
"Ngược lại, các khách hàng ở Botswana, Trinidad và Tobago, và Ai Cập đã ngừng liên lạc vào tháng 6, tháng 5 và tháng 3 năm 2025, tương ứng," báo cáo cho biết thêm. "Điều này có thể cho thấy các thực thể này đã ngừng sử dụng Predator spyware vào khoảng thời gian đó; tuy nhiên, cũng có thể họ chỉ sửa đổi hoặc di chuyển cài đặt infrastructure của mình."
