Regierungskritischer Journalist aus Angola hatte Predator-Spyware auf dem Handy
Die Predator-Spyware wurde auf dem iPhone eines regierungskritischen Journalisten aus Angola gefunden. Amnesty erklärt, wie es womöglich dazu kommen konnte.
(Bild: solarseven / Shutterstock.com)
Ein regierungskritischer Journalist und Aktivist aus Angola wurde Opfer eines Angriffs mit der Predator-Spyware. Dies geht aus einer aktuellen forensischen Untersuchung des Security Labs von Amnesty International hervor. Demnach öffnete Teixeira Cândido im Jahr 2024 einen infizierten Link über WhatsApp. Der Link kam von einem vermeintlichen Repräsentanten einer Gruppe angolanischer Studenten, mit dem er Kontakt über den Messenger hatte. Der tatsächliche Absender ist unbekannt. Die Software operierte etwa einen Tag lang unbemerkt auf seinem iPhone, bis sie durch einen Neustart entfernt wurde.
Die Menschenrechtsorganisation erklärt, dass sich bereits seit 2022 Angriffe auf Cândido häufen. So wurde mehrfach in seinem Büro sowie in denen anderer Journalisten eingebrochen. Der gezielte Angriff mit der Spyware Predator sei der erste forensisch dokumentierte Fall dieser Art im Land. Es gebe jedoch Hinweise auf weiterreichende Predator-Angriffe seit 2023. In der Rangliste der Pressefreiheit von Reporter ohne Grenzen landet Angola auf Platz 100 von 180.
Die Spyware ist nicht unbekannt
Die eingesetzte Spähsoftware Predator stammt von Intellexa. Das Unternehmen mit Sitz in Irland wurde 2018 von einem israelischen Ex-Offizier mit Kollegen aus dem Militär und der Sicherheits- und Geheimdienstbranche gegründet. Die Intellexa Alliance, ein Zusammenschluss des Unternehmens mit den weiteren IT-Firmen, hat in der Vergangenheit etwa Software an Katar, Vietnam oder Pakistan, aber auch nach Deutschland verkauft.
Videos by heise
Neben der gezielten Spionage ist die Predator-Software darauf programmiert, sich bei drohender Entdeckung selbst zu deaktivieren und die eigenen Spuren zu verwischen. Dabei wird eine verschlĂĽsselte Statusmeldung an die Angreifer geschickt, mit welcher die Software weiter verbessert werden kann. Sie wurde in der Vergangenheit immer wieder gegen Journalisten und Politiker eingesetzt.
SicherheitslĂĽcken ausgenutzt
Cândidos iPhone lief zum Zeitpunkt der Infektion auf dem Betriebssystem iOS 16.2. Die Spyware tarnte sich als der Systemprozess „iconservicesagent“ und agierte auf dem „/private/var/containers/Bundle/“-Verzeichnis. Das iOS-Update 17.4.1, in welchem unter anderem Sicherheitslücken früherer Updates geschlossen wurden, stand bereits zur Verfügung. Warum der Journalist das Softwareupdate nicht installiert hatte, geht aus der Amnesty-Untersuchung nicht hervor. Predator hatte die Schwachstelle CVE-2023-41991 genutzt, um iPhones zu infiltrieren.
