NoviSpy: spyware Android sfrutta bug Qualcomm

Il governo serbo ha sfruttato vulnerabilità zero-day in un driver Qualcomm per spiare giornalisti, attivisti e altre persone. Dopo aver sbloccato i dispositivi Android con il noto tool Cellebrite, le autorità di intelligence hanno installato lo spyware NoviSpy. L’azienda californiana ha già rilasciato le patch.

Sorveglianza della società civile

Amnesty International ha scoperto le attività di sorveglianza della società civile attuate in Serbia, riportando la testimonianza del giornalista Slaviša Milanov.

Circa 10 mesi fa, durante un controllo di routine del traffico, Milanov è stato portato in una stazione di polizia dove aveva consegnato temporaneamente il suo smartphone (un Redmi Note 10S). All’uscita ha notato che alcune impostazioni erano state disattivate (Wi-Fi e dati) e che i consumi erano aumentati.

Il giornalista ha quindi contattato il Security Lab di Amnesty International che, in seguito all’analisi del dispositivo, ha scoperto l’uso del tool Cellebrite per lo sblocco e l’estrazione di circa 1,6 GB di dati. La polizia serba ha inoltre installato NoviSpy, uno spyware che può accedere a numerosi dati e attivare da remoto microfono e fotocamera.

Amnesty International hanno inviato il malware al Threat Analysis Group di Google. Gli esperti dell’azienda californiana hanno scoperto che NoviSpy ha sfruttato diverse vulnerabilità del driver DSP di Qualcomm (in totale sono sei) per aggirare le protezioni di Android.

Cinque delle sei vulnerabilità sono state risolte tra settembre e ottobre. La patch per l’ultimo bug verrà rilasciata a gennaio 2025.

Secondo Amnesty International, lo spyware è stato probabilmente installato su centinaia di smartphone Android in Serbia. In alcuni casi è stato effettuato un attacco zero-click che ha permesso di installare il malware senza l’interazione dell’utente, una tecnica utilizzata anche da Pegasus di NSO Group.

Cellebrite ha dichiarato che il tool viene fornito solo per usi legali e richiede l’autorizzazione del giudice. In caso di violazione della licenza d’uso, il contratto con le agenzie serbe verrà annullato.