Candiru (スパイウェア会社)

Candiruは2014年に設立されたテルアビブを拠点とする民間企業で、政府機関の顧客にスパイウェアやサイバースパイ^{[1] [2]サービスを提供しています。 [3]経営陣と投資家は}NSOグループとかなり重複しています。^{[4]同社の活動は2019年にCitizenLab、} Kaspersky、ESETなどの研究者によって明らかになり始めました。マイクロソフトは同社のサイバースパイ活動を「Caramel Tsunami/SOURGUM」と呼んでおり、Kasperskyは「SandCat」と呼んでいます。^{[5] [6]}

同社の製品は、さまざまなオペレーティングシステムやウェブブラウザのゼロデイ脆弱性を悪用して、永続的なスパイウェアインプラント（Microsoftは「DevilsTongue」と名付けている）を展開し、被害者のデバイスをリモートコントロールします。^[5]また、同社の製品はMac、Android、iPhoneデバイスを侵害する能力があると報告されています。被害者は多くの場合、一連のエクスプロイトを介してスパイウェアをインストールする悪質なWebサイトを訪問するようにソーシャルエンジニアリングされます。同社のビジネスモデルは、サイバースパイのマネージドサービスプロバイダーに似ており、政府機関のクライアントにエクスプロイト、ツール、インフラストラクチャを提供しています。^{[7] [4] [8] [9]}

同社は対外的な存在感を最小限に抑えており、従業員に秘密保持契約への署名を義務付け、雇用元を隠すために厳格な業務セキュリティ慣行に従うよう求めている。 ^[4]同社の社名は2014年から2020年にかけて複数回変更されている。^[8]

多くのイスラエルのテクノロジー企業と同様に^[10]、イスラエル軍の信号諜報とサイバー戦争を担当するUnit 8200から大量の人材を採用しています。^[2]その名前とロゴは、人間の尿道に移植する能力（おそらくは作り話）を持つ寄生魚のカンディルに由来しています。 ^{[2] [8]}

カンディルは2014年にエラン・ショラーとヤコブ・ワイツマンによって設立された。^{[4] [8] NSOグループの初期の投資家であるアイザック・ザックが}会長を務めている。^[4]この3人が会社の支配権を握っている。報道によると、カンディルはNSOグループの共同創設者であるオムリ・ラヴィとシャレフ・フリオが運営するエンジェル投資シンジケート「ファウンダーズ・グループ」から投資を受けた。^[9]報道によると、カンディルはNSOグループに次ぐイスラエル第2位のサイバースパイ企業である。^{[2] [4]}

同社は頻繁にオフィスを移転しており^[4]、2014年から2020年にかけて法人登記を変更し、最近では「Saito Tech Ltd」に変更した。^{[1] [8] [4] [11]}

元上級従業員による訴訟に関する公開裁判所書類^[4]によると、Candiruの従業員数は2015年の12人から2018年には150人に増加した。2016年までに、同社はヨーロッパ、中東、アジア、ラテンアメリカの顧客との取引を開始した。同社は2016年に1,000万ドルを売り上げ、2018年には2,000万～3,000万ドルを売り上げ、60の政府と3億6,700万ドル相当の取引が保留中である。交渉中は国内の仲介業者を利用していると言われている。2017年、Candiruはモバイルデバイススパイウェアの開発を開始したと言われている。Candiruは、国家安全保障を理由に、裁判所に文書の封印と非公開審理の開催を求めた。 ^[4]

2019年、カンディルはベンチャーキャピタリストのイーライ・ワートマンからイスラエルのユニバーサル・モーターズに10%の株式を売却したことで、9000万ドルと評価された。 ^[4]カタールの政府系ファンドがカンディルに投資したと報じられている。^{[8] [12]} 2020年、カンディルは「ソコト」という子会社を設立した。^[8]

2020年現在、取締役会は創業者のエラン・ショラー、ヤコブ・ワイツマン、会長兼投資家のアイザック・ザック、ユニバーサル・モーターズ・イスラエルの代表者から構成されています。2021年の提出書類には、少数株主としてユニバーサル・モーターズ・イスラエル、ESOPマネジメント・アンド・トラスト・サービス（企業株式プログラムのマネージャー）、オプタス・インダストリー・リミテッド（カタールの政府系ファンドの代理人）が記載されています。^[8]

2019年にViceは、カスペルスキー研究所がウズベキスタン国家安全保障局が使用しているCandiruスパイウェアを特定したと報じた^[7]。同諜報機関はスパイウェアが検出されるかどうかをテストするためにカスペルスキーのウイルス対策ソフトウェアを使用し、スパイウェアのネットワーク通信用に公式ドメイン（「itt.uz」）を設定したと報じられている。この発見により、カスペルスキーはサウジアラビアやアラブ首長国連邦などCandiruスパイウェアを使用している他の諜報機関を特定することができた。^[9]

2021年4月、ESETは、サウジアラビアの諜報機関が実行したと思われるスパイ活動を特定しました。この活動では、Candiruスパイウェアを利用して、水飲み場型攻撃によりニュースメディアMiddle East Eyeを侵害しました。この活動の標的には、イラン大使館、イタリアの航空宇宙企業、シリア政府、イエメン政府などが含まれていました。^[13]

2021年7月、CitizenLabとMicrosoftは、 Candiruスパイウェアが^さまざまな政府機関の顧客によって広く使用され、政治家、人権活動家、ジャーナリスト、学者、大使館職員、反体制派など、世界中の民間社会全体で少なくとも100人の被害者が被害に遭ったと報告しました[8]。スパイウェア制御インフラストラクチャは、サウジアラビア、イスラエル、UAE、ハンガリー、インドネシアで確認されました。高度に標的を絞ったソーシャルエンジニアリングにより、被害者は関連コンテンツを装って悪意のあるWebサイトにアクセスしました。[ 1 ^{] [3]}

マイクロソフトの脅威インテリジェンスセンターは、2021年7月にCandiruスパイウェア^[1]によって悪用されたWindowsの脆弱性を特定し、修正しました。^[3]マイクロソフトによるスパイウェアの分析により、ファイル、メッセージ、パスワードの流出を可能にすることに加えて、スパイウェアはログインしている電子メールやソーシャルメディアのアカウントからメッセージをターゲットのコンピューターから直接送信することも可能にすることが明らかになりました。^[8]さらに、CitizenLabは、CandiruがブラウザGoogle Chromeの2つの脆弱性を悪用したと報告しました。^[3] Googleはまた、Microsoft OfficeのエクスプロイトをCandiruに関連付けました。^[8]

2021年11月、米国商務省は敵対的な外国政府にスパイウェアを供給したとして、 CandiruとNSO Groupの両社を制裁対象企業リストに追加した。 ^{[14] [15]}

2022年4月、CitizenLabは、カタルーニャ独立運動のメンバーが、スペイン政府が認可した公職者や活動家に対する国内監視作戦^{[16]の一環として、Candiruスパイウェアに感染したと報告した。この作戦では、NSOグループの}Pegasusスパイウェアも多用された。アムネスティ・インターナショナルによる調査と国民の抗議により、カタランゲートが起こり、スペイン政府による公式認定が行われた。被害者には、ソーシャルエンジニアリングを利用して悪意のあるURLにアクセスするよう説得するメールが送られ、ブラウザやオペレーティングシステムの脆弱性を利用して密かにスパイウェアがインストールされた。これらのメールは、 COVID流行時の公式健康勧告などの信憑性のある口実を利用していた。^[17]

Candiru は^[3]政府の法執行機関と諜報機関にのみ販売していると言われています。同社は「仲介者」または「管理サービス プロバイダー」として機能し、配信メカニズム、リモート コントロール インフラストラクチャ、スパイウェア ツール、ソフトウェア エクスプロイトを提供しています。クライアントはターゲット設定、ロジスティクス、運用セキュリティの責任を負っているようです。^[7] Candiru は、多くのゼロデイ脆弱性に対するエクスプロイトをクライアントに提供したと報告されており、脆弱性が発見された後、関連するソフトウェア会社によってパッチが適用されています。^{[4] [8]}少なくとも 1 つのケースでは、クライアント (Ubeki intelligence) の運用セキュリティが不十分だったために、複数のゼロデイとネットワーク インフラストラクチャが「焼失」しました。^[7]

同社は、クライアントは米国、イスラエル、ロシア、中国、イランでは利用できないと主張している。^[4] CitizenLabやMicrosoftなどの研究者は、イスラエルとイランでCandiruスパイウェアの被害者を特定しており、ロシアでも潜在的な被害者がいるとしている。^{[1] [8]}

漏洩した文書や契約書によると、Candiru はドライブバイエクスプロイト、ネットワークデータの改ざん、悪意のある文書、物理的侵入など、さまざまなエクスプロイト配信方法を提供している。必要に応じて新しいツールを開発でき、ゼロデイ脆弱性のエクスプロイトにアクセスできるようだ。デバイスを侵害した後、被害者のデバイスをリモート制御するために、永続的なスパイウェアインプラント (Microsoft は「DevilsTongue」と名付けた) がインストールされる。^[5]ソーシャルメディアデータ、ブラウザのクッキー、SMS、Viber、WhatsApp、Signal からのメッセージがキャプチャされる可能性がある。デバイスのカメラ/マイクもキャプチャされる可能性がある。^{[1] [2] [8]}

サービスは、標的のデバイス数と影響を受ける国数に基づいて、数千万ドルの価格で販売されています。アップセルサービスには、追加の被害者データへのアクセスとデバイスの完全なリモートコントロールが含まれます。「Sherlock」と呼ばれる数百万ドルのアドオン（おそらくクロスオペレーティングシステムのゼロデイWebブラウザエクスプロイト）は、Windows、Android、iOSデバイスへのアクセスを提供すると主張しています。^{[8] [3]}