Amnesty International wertete erneuten Einsatz der staatlichen Malware in Ägypten aus

Zuletzt tauchte laut Amnesty International Finspy im September 2019 erneut in Ägypten auf, wo eine Gruppe namens "NilePhish" versuchte, das Spionageprogramm an Menschenrechtsaktivisten und Medienmitarbeiter zu verteilen. Amnesty untersuchte das Paket und stellte fest, dass Finspy neue Fähigkeiten hinzugewonnen hat.

"Nilephish" versucht, seine Ziele auf die Website "Browserupdate Download" zu lotsen. Dort wartet ein angebliches Update für den (zunehmend irrelevanten) Flash Player von Adobe. Freilich kommt die (zum damaligen Zeitpunkt tatsächlich am aktuellen Versionsstand befindliche) Software mit einer gefährlichen Zuladung in Form eines "Droppers", der Finspy auf den Zielrechner schleust.

Weitere Analyse ergab, dass der Dropper von einem Nutzer mit dem Pseudonym "shenno" entwickelt wurde. Diese Bezeichnung tauchte auch schon vorher im Zusammenhang mit der Gruppierung auf. Später tauchte eine weitere Subdomain auf der Phishing-Seite auf, deren IP-Adresse zu einem Server des kleinen russischen Hostinganbieters "Offshore Servers" führt, der schon laut früheren Erkenntnissen ein von Nilephish bevorzugter Dienstleister ist. Diese Zusammenhänge wurden im Oktober 2019 auch von einem unabhängig erstellten Bericht des Unternehmens Checkpoint Security bestätigt.

Mac-OS- und Linux-Version bestätigt
Ende 2019 entdeckte man einen weiteren Server, über den Finspy-Malware verteilt wurde. Dieser dürfte allerdings nicht von Nilephish, sondern jemand anderem betrieben werden. Darauf entdeckte man gleich mehrere Varianten der Spionagesoftware. Unter dem Namen "Jakuba" wurde erstmals eine Finspy-Variante entdeckt, die Apples Mac OS ausspionieren kann. Die Existenz einer solchen war zuvor zwar vermutet, aber noch nicht definitiv bestätigt worden.

Ebenso zu finden war eine manipulierte PDF-Datei, über die eine Linux-Version des Spähtools verbreitet wurde. Auch eine solche war bis dahin unbekannt. Sie dürfte sich aller Wahrscheinlichkeit nach ihre Codebasis mit der Mac-OS-Fassung teilen. Weiters gab es auch ein als App getarntes Paket für Android. Finspy für Android und iOS wurde erstmals allerdings schon 2012 gesichtet.