خبرنگار تایید کرد یک سازنده نرم‌افزارهای جاسوسی (stalkerware) با سابقه چندین مورد درز و نشت اطلاعات، اکنون یک آسیب‌پذیری امنیتی حیاتی دارد که به هر کسی اجازه می‌دهد کنترل هر حساب کاربری را به دست گرفته و اطلاعات شخصی حساس قربانیان را سرقت کند.
یک محقق امنیتی مستقل به نام سوارنگ وید این آسیب‌پذیری را پیدا کرده است. این آسیب‌پذیری به هر کسی اجازه می‌دهد رمز عبور هر کاربر برنامه جاسوسی TheTruthSpy و بسیاری از برنامه‌های جاسوسی اندرویدی مرتبط با آن را بازنشانی کند و منجر به ربودن هر حسابی در این پلتفرم شود. با توجه به ماهیت TheTruthSpy، احتمالاً بسیاری از مشتریان آن بدون رضایت قربانیان خود، که از انتقال اطلاعات تلفن خود به شخص دیگری بی‌اطلاع هستند، از آن استفاده می‌کنند.
این نقص اساسی، بار دیگر نشان می‌دهد که نمی‌توان به سازندگان نرم‌افزارهای جاسوسی مصرف‌کننده مانند TheTruthSpy (و بسیاری از رقبای آن) در مورد اطلاعات هیچ‌کس اعتماد کرد. این برنامه‌های نظارتی نه تنها جاسوسی غیرقانونی را تسهیل می‌کنند (که اغلب توسط شرکای عاطفی سوء‌استفاده‌گر انجام می‌شود)، بلکه شیوه‌های امنیتی نامناسبی دارند که اطلاعات شخصی قربانیان و مجرمان را در معرض خطر قرار می‌دهد.
تا به امروز، خبرنگار حداقل ۲۶ عملیات جاسوسی را شمارش کرده است که در سال‌های اخیر، اطلاعات را درز داده، فاش کرده یا به نوعی پخش کرده‌اند. طبق آمار ما، این حداقل چهارمین مورد نقص امنیتی مربوط به TheTruthSpy است.
خبرنگار با ارائه نام کاربری چندین حساب آزمایشی به محقق، این آسیب‌پذیری را تأیید کرد. محقق به سرعت رمزهای عبور حساب‌ها را تغییر داد. وید سعی کرد با مالک TheTruthSpy تماس بگیرد تا او را از این نقص مطلع کند، اما پاسخی دریافت نکرد.
هنگامی که خبرنگار با وان (واردی) تیو، مدیر این عملیات جاسوسی، تماس گرفت، او گفت که کد منبع را “گم کرده” و نمی‌تواند این باگ را برطرف کند.
تا زمان انتشار این خبر، این آسیب‌پذیری همچنان وجود دارد و یک خطر قابل توجه برای هزاران نفری است که اعتقاد بر این است که تلفن‌هایشان ناآگاهانه توسط نرم‌افزار جاسوسی TheTruthSpy به خطر افتاده است.
با توجه به خطر برای عموم مردم، ما این آسیب‌پذیری را با جزئیات بیشتری شرح نمی‌دهیم تا به بازیگران مخرب کمک نکنیم.
## مروری مختصر بر نقص‌های امنیتی متعدد TheTruthSpy
TheTruthSpy یک عملیات جاسوسی پرکار است که ریشه‌های آن تقریباً به یک دهه قبل برمی‌گردد. زمانی، این شبکه جاسوسی یکی از بزرگترین عملیات شناخته شده نظارت تلفنی در وب بود.
TheTruthSpy توسط 1Byte Software، یک سازنده نرم‌افزارهای جاسوسی مستقر در ویتنام که توسط تیو، مدیر آن اداره می‌شود، توسعه یافته است. TheTruthSpy یکی از مجموعه‌ای از برنامه‌های جاسوسی اندرویدی تقریباً یکسان با نام تجاری مختلف است، از جمله Copy9 و برندهای منحل شده iSpyoo، MxSpy و غیره. برنامه‌های جاسوسی از داشبوردهای پشتیبان یکسانی استفاده می‌کنند که مشتریان TheTruthSpy از آنها برای دسترسی به اطلاعات سرقت شده تلفن قربانی خود استفاده می‌کنند.
به این ترتیب، باگ‌های امنیتی موجود در TheTruthSpy بر مشتریان و قربانیان هر برنامه جاسوسی با نام تجاری یا دارای برچسب سفید که به کد اصلی TheTruthSpy متکی است نیز تأثیر می‌گذارد.
به عنوان بخشی از تحقیقات در مورد صنعت نرم‌افزارهای جاسوسی در سال ۲۰۲۱، خبرنگار دریافت که TheTruthSpy یک باگ امنیتی دارد که اطلاعات خصوصی ۴۰۰۰۰۰ قربانی خود را برای هر کسی در اینترنت در معرض دید قرار می‌دهد. اطلاعات فاش شده شامل شخصی‌ترین اطلاعات قربانیان، از جمله پیام‌های خصوصی، عکس‌ها، گزارش تماس‌ها و داده‌های موقعیت مکانی تاریخی آنها بود.
خبرنگار بعداً یک کش از فایل‌ها را از سرورهای TheTruthSpy دریافت کرد که عملکردهای داخلی عملیات جاسوسی را نشان می‌داد. این فایل‌ها همچنین شامل فهرستی از هر دستگاه اندرویدی بود که توسط TheTruthSpy یا یکی از برنامه‌های مرتبط با آن به خطر افتاده بود. در حالی که فهرست دستگاه‌ها حاوی اطلاعات کافی برای شناسایی شخصی هر قربانی نبود، به خبرنگار اجازه داد تا یک ابزار جستجوی نرم‌افزار جاسوسی برای هر قربانی بالقوه ایجاد کند تا بررسی کند که آیا تلفن آنها در این فهرست یافت شده است یا خیر.
گزارش‌های بعدی ما، بر اساس صدها سند فاش شده از سرورهای 1Byte که برای خبرنگار ارسال شده بود، نشان داد که TheTruthSpy به یک عملیات پولشویی گسترده متکی است که از اسناد جعلی و هویت‌های دروغین برای دور زدن محدودیت‌های اعمال شده توسط پردازنده‌های کارت اعتباری بر روی عملیات جاسوسی استفاده می‌کرد. این طرح به TheTruthSpy اجازه داد تا میلیون‌ها دلار از پرداخت‌های غیرقانونی مشتریان را به حساب‌های بانکی در سراسر جهان که توسط اپراتورهای آن کنترل می‌شد، منتقل کند.
در اواخر سال ۲۰۲۳، TheTruthSpy یک نقض اطلاعات دیگر داشت که اطلاعات خصوصی حدود ۵۰۰۰۰ قربانی جدید دیگر را فاش کرد. خبرنگار یک کپی از این داده‌ها را دریافت کرد و ما رکوردهای به‌روزرسانی‌شده را به ابزار جستجوی خود اضافه کردیم.
## TheTruthSpy، همچنان در حال افشای داده‌ها، با نام تجاری PhoneParental دوباره معرفی می‌شود
در حال حاضر، برخی از عملیات TheTruthSpy متوقف شده و بخش‌های دیگر برای فرار از بررسی دقیق شهرت، دوباره نام‌گذاری شده‌اند. TheTruthSpy هنوز هم امروزه وجود دارد و بسیاری از کد منبع دارای باگ و داشبوردهای پشتیبان آسیب‌پذیر خود را در حالی که به عنوان یک برنامه جاسوسی جدید به نام PhoneParental دوباره نام‌گذاری شده است، حفظ کرده است.
تیو همچنان در توسعه نرم‌افزار نظارت تلفنی و همچنین تسهیل مداوم نظارت دخالت دارد.
بر اساس تجزیه و تحلیل اخیر از زیرساخت فعلی وب‌محور TheTruthSpy با استفاده از سوابق اینترنتی عمومی، این عملیات همچنان به یک پشته نرم‌افزاری توسعه‌یافته توسط تیو به نام JFramework (که قبلاً به عنوان Jexpa Framework شناخته می‌شد) متکی است، که TheTruthSpy و سایر برنامه‌های جاسوسی آن برای به اشتراک گذاشتن داده‌ها با سرورهای خود به آن متکی هستند.
در یک ایمیل، تیو گفت که در حال بازسازی برنامه‌ها از ابتدا، از جمله یک برنامه نظارت تلفنی جدید به نام MyPhones.app است. یک آزمایش تجزیه و تحلیل شبکه که توسط خبرنگار انجام شد نشان می‌دهد که MyPhones.app برای عملیات پشتیبان خود به JFramework متکی است، همان سیستمی که TheTruthSpy استفاده می‌کند.
خبرنگار توضیحاتی در مورد نحوه شناسایی و حذف نرم‌افزارهای جاسوسی از تلفن شما دارد.
TheTruthSpy، مانند سایر اپراتورهای نرم‌افزارهای جاسوسی، همچنان تهدیدی برای قربانیانی است که تلفن‌هایشان توسط برنامه‌های آن به خطر افتاده است، نه تنها به دلیل داده‌های بسیار حساسی که سرقت می‌کنند، بلکه به این دلیل که این عملیات به طور مداوم ثابت می‌کنند که نمی‌توانند از اطلاعات قربانی خود محافظت کنند.
—
اگر شما یا کسی که می‌شناسید به کمک نیاز دارید، خط تلفن ملی خشونت خانگی (۱-۸۰۰-۷۹۹-۷۲۳۳) به صورت شبانه‌روزی پشتیبانی رایگان و محرمانه را برای قربانیان سوء‌استفاده و خشونت خانگی ارائه می‌دهد. اگر در یک وضعیت اضطراری هستید، با ۹۱۱ تماس بگیرید. ائتلاف علیه نرم‌افزارهای جاسوسی در صورتی که فکر می‌کنید تلفن شما توسط نرم‌افزار جاسوسی به خطر افتاده است، منابعی دارد.
منبع: techcrunch.com
