Predator

O spyware Predator, desenvolvido pelas empresas Intellexa e Cytrox, tem se mostrado uma ameaça significativa para usuários de dispositivos iOS, pois consegue acessar silenciosamente câmeras e microfones sem que os usuários percebam. Apesar da introdução de indicadores visuais no iOS 14, que alertam quando esses dispositivos estão ativos, o Predator consegue contornar essas notificações. A técnica utilizada envolve o acesso a nível de kernel, permitindo que o malware injete código em processos críticos do sistema, como o SpringBoard, e suprimindo os indicadores visuais de gravação. Além disso, o spyware possui módulos que manipulam permissões de câmera e capturam áudio de VoIP, tornando sua detecção extremamente difícil. A pesquisa da Jamf Threat Labs destaca que o Predator não explora novas vulnerabilidades, mas sim utiliza acesso prévio ao kernel para interceptar atualizações de atividade dos sensores, evitando que os usuários sejam alertados sobre a vigilância em andamento. A complexidade do design do Predator e suas técnicas de persistência exigem que usuários e equipes de segurança monitorem anomalias sutis na atividade dos sensores para detectar possíveis compromissos em seus dispositivos.

Um estudo da empresa de segurança Jamf revelou que o spyware Predator, da Intellexa, possui um nível de monitoramento e controle sobre seus usuários muito maior do que o alegado pelos vendedores do software. Tradicionalmente, esses fornecedores afirmam que suas ferramentas são utilizadas apenas por governos e entidades legais para monitorar atividades criminosas e ameaças à segurança nacional. No entanto, a pesquisa indicou que o Predator utiliza técnicas de anti-análise para coletar dados sobre falhas de uso, permitindo que operadores ajustem suas estratégias de ataque. O software é capaz de relatar erros específicos a um servidor de comando e controle (C2), que, embora não esteja claro se é operado pela Intellexa ou por seus clientes, sugere um controle centralizado. A falta de transparência em relação ao funcionamento do Predator levanta preocupações sobre seu uso em ciberataques a ativistas de direitos humanos e jornalistas, como evidenciado pelo caso do assassinato do jornalista Jamal Khashoggi, cujas comunicações foram comprometidas por outro spyware, o Pegasus. A Intellexa, por sua vez, não possui presença online visível, o que agrava a falta de clareza sobre suas operações.

O Escritório de Controle de Ativos Estrangeiros do Departamento do Tesouro dos EUA (OFAC) retirou três indivíduos associados ao Consórcio Intellexa, responsável pelo spyware comercial Predator, da lista de nacionais designados. Os indivíduos são Merom Harpaz, Andrea Nicola Constantino Hermes Gambazzi e Sara Aleksandra Fayssal Hamou. Harpaz e Gambazzi foram sancionados em 2024 por desenvolver e distribuir o Predator, que é conhecido por sua capacidade de operar de forma furtiva e coletar dados sensíveis de dispositivos infectados. O motivo da remoção dos nomes da lista não foi esclarecido. O Predator é frequentemente utilizado em ataques direcionados a jornalistas, ativistas e políticos, levantando preocupações sobre a segurança e os direitos humanos. Recentemente, um relatório da Anistia Internacional destacou um ataque a um advogado de direitos humanos no Paquistão via WhatsApp, utilizando o Predator. A crescente proliferação de spyware comercial, como o Predator, representa um risco significativo à segurança nacional dos EUA e de seus cidadãos, conforme alertado pelo OFAC, que enfatiza a necessidade de regulamentações para o uso responsável dessas tecnologias.

A atualização do sistema operacional iOS 26 da Apple introduziu uma mudança significativa no funcionamento do arquivo shutdown.log, que pode ter consequências graves para a segurança dos dispositivos. Este arquivo, que anteriormente registrava atividades do sistema durante o desligamento, agora é sobrescrito a cada reinicialização, eliminando evidências cruciais de infecções por malwares sofisticados como Pegasus e Predator. Essa alteração pode ser vista como uma falha de design ou um bug, mas suas implicações são profundas, especialmente para usuários que podem ter sido infectados sem saber. Antes da atualização, pesquisadores de segurança podiam identificar indicadores de comprometimento através de anomalias nesse log, mas agora, com a remoção automática de dados históricos, dispositivos comprometidos se tornam indistinguíveis de sistemas limpos. A situação é alarmante, pois ataques de spyware continuam a atingir figuras de destaque globalmente. Para mitigar riscos, usuários são aconselhados a extrair e preservar dados do sysdiagnose antes de atualizar para o iOS 26, garantindo que informações sobre possíveis infecções sejam mantidas.