Candiru

Candiru — Тель-Авивтегі израильдік компания. Ол тыңшы бағдарламалар жасайды және өз шарты бойынша оларды тек мемлекеттерге сатады. Компанияның ашық сайты жоқ, атауын бірнеше рет өзгерткен, ал оның жұмысы туралы әлем көбіне зерттеушілердің есептерінен біледі. 2026 жылғы қазанда Citizen Lab Candiru бағдарламасы құрбандарына кәдімгі таргеттелген жарнама арқылы жеткенін көрсетті. Басты нысананың бірі Al Jazeera медиажелісі болып шықты.

Шығу тегі: жоқ сияқты компания (2014–2018)

Candiru Ltd. 2014 жылы Тель-Авивте тіркелді. Негізін Эран Шорер мен Яаков Вейцман қалады. Calcalist директорлар кеңесінің төрағасы әрі ең ірі акционері ретінде Ицхак Закты атайды. Forbes 2019 жылы Зактың Founders Group-тың басқарушы серіктесі екенін жазды. Бұл инвестициялық клубты Pegasus тыңшы бағдарламасын жасаған NSO Group-тың үш негізін қалаушысының бірі Омри Лави бірге құрған.

Заң жүзінде фирма атауын бірнеше рет ауыстырды. Citizen Lab дерегінше, 2021 жылға қарай ол Saito Tech Ltd. деп аталды, бірақ салада да, баспасөзде де оны әлі Candiru дейді.

Алғашқы жылдары компания туралы ештеңе дерлік белгісіз еді. Forbes 2019 жылы оны сайты жоқ, ашық жазбасы өте аз «құпия» фирма деп сипаттады. Басылымның айтуынша, оның негізгі бағыты — түрлі елдердің барлауы үшін Windows компьютерлерін бұзу. Forbes дереккөздерінше, Candiru macOS үшін, мүмкін iOS үшін де құралдар әзірлеген.

Ақша туралы аз-маз мәлімет соттан шықты. Бұрынғы қызметкер сотқа арыз беріп, компания құрылғаннан кейінгі екі жылда сатылым $30 млн-ға жуық болды деді. Citizen Lab бұл санды тексерілген есептен емес, сол арыздан келтіреді. Wikipedia жазуынша, сол сот құжаттарына қарағанда штат 2015 жылғы 12 адамнан 2018 жылы 70 адамға өскен. Сол деректер бойынша компания қызметкерлерді көбіне Израиль армиясының 8200 радиоэлектрондық барлау бөлімшесінен алған.

Citizen Lab Candiru акционерлерінің арасында Катардың егемен қорымен байланысты компанияны да атайды. Citizen Lab дерегінше, компания клиенттері Еуропада, посткеңестік кеңістікте, Парсы шығанағы елдерінде, Азия мен Латын Америкасында болған. Al Jazeera жергілікті баспасөзге сілтеме жасап жазғандай, келісімшарттар бағдарламаларды АҚШ, Ресей, Қытай, Израиль мен Иранға қарсы қолдануға тыйым салған. Соған қарамастан Microsoft Candiru белсенділігін Иранда да байқаған.

2019: Өзбекстандағы сынақ компьютері

Candiru-дың алғашқы айқын ізі Орталық Азиядан табылды. 2019 жылы «Касперский зертханасының» зерттеушісі Брайан Бартоломью Forbes-қа Өзбекстан арнаулы қызметі Candiru кибер-қаруын сатып алған болуы мүмкін екенін айтты. Оның командасы өзбек барлауының желіге ашық тұрған сынақ компьютерін тапты. Бартоломьюдің сөзінше, өзбек шабуылдарындағы Windows осалдықтары Candiru-ға және оның Сауд Арабиясы мен БАӘ-дегі клиенттеріне меңзеген. Дегенмен ол жылыстап шыққан құралдарды компанияға тікелей байланыстыра алмады.

Кейін Citizen Lab бұл тұжырымды сақтықпен қайталады: Өзбекстанның Ұлттық қауіпсіздік қызметі «ықтимал» клиент болған. Ашық дереккөздерде расталған келісімшарт жоқ.

2021: Microsoft, Citizen Lab және DevilsTongue

Шын мәніндегі атақ 2021 жылғы 15 шілдеде келді. Бір күнде Торонто университетінің Citizen Lab зертханасы мен Microsoft өзара байланысты есептер жариялады. Microsoft топты SOURGUM деп атап, оны Израильдегі «жеке шабуылшы ойыншы» ретінде сипаттады. Citizen Lab бұл белсенділікті жоғары сенімділікпен Candiru-ға телиді.

Зиянды бағдарламаны Microsoft DevilsTongue деп атады. Компанияның сипаттамасы бойынша, ол мыналарды істей алады:

• жұқтырылған компьютерден файл жинап, команда орындайды;
• жүйе мен браузерлерден құпиясөз ұрлайды;
• Signal хабарламаларын шифрдан шығарады;
• браузердің cookie файлдарын алып, құрбанның Facebook не Gmail аккаунтына кіреді және оның атынан жаза алады.

Жүйеде бекіну үшін DevilsTongue Windows-тағы екі нөлдік күн осалдығын — CVE-2021-31979 және CVE-2021-33771-ді пайдаланды. Microsoft оларды 2021 жылғы 13 шілдеде жапты.

Microsoft дерегінше, құрбандар 100-ден асқан. Олардың жартысына жуығы палестиналық аумақтарда, қалғаны негізінен Израиль, Иран, Ливан, Йемен, Испания (Каталония), Ұлыбритания, Түркия, Армения мен Сингапурда. Citizen Lab дерегінше, олардың арасында құқық қорғаушылар, диссиденттер, журналистер, белсенділер мен саясаткерлер бар.

Citizen Lab Candiru инфрақұрылымымен байланысты кемінде 764 доменді тапты. Олардың көбі белгілі ұйымдардың атын жамылған: Amnesty International, Black Lives Matter қозғалысы, CNN, БҰҰ және ДДСҰ. Жылыстап шыққан коммерциялық ұсыныста базалық пакет €16 млн тұрған және бір мезгілде он құрылғыны бақылауға мүмкіндік берген. Баға бір уақытта жұқтырылған құрылғылар санына байланысты болды: нысана көп болса, лицензия да қымбат.

Al Jazeera Citizen Lab-қа сілтеме жасап жазғандай, басқару серверлері Сауд Арабиясынан, Израильден, Венгриядан, Индонезиядан және басқа елдерден табылған. Бұл тізімнің өзі нақты кім клиент болғанын дәлелдемейді.

АҚШ-тың қара тізімі (2021)

2021 жылғы қарашада АҚШ Сауда министрлігі Candiru мен NSO Group-ты Entity List тізіміне енгізді. Бұл — америкалық бизнес арнайы рұқсатсыз жұмыс істей алмайтын компаниялар тізімі. Calcalist жазуынша, Вашингтон олардың тыңшы бағдарламаларын қолдануды АҚШ-тың ұлттық қауіпсіздік мүддесіне қайшы деп санады.

Каталония (2022)

2022 жылғы сәуірде Citizen Lab CatalanGate есебін шығарды. Зерттеушілер Каталония тәуелсіздігін жақтаушыларды ауқымды бақылау туралы жазды. Жұқтырудың көбі Pegasus-қа тиесілі болды, бірақ есеп бойынша нысаналардың бір бөлігіне Candiru бағдарламасымен шабуыл жасалған. Алдап түсіру үшін, атап айтқанда, COVID-19 туралы хабарламалар қолданылған.

2025: жаңа иесі

2025 жылғы сәуірде Calcalist Candiru-ды америкалық Integrity Partners инвестициялық қоры сатып алғанын хабарлады. Мәміле сомасы — $30 млн-ға дейін, бірінші кезеңі — $10 млн. Басылым қор серіктестерінің бірі ретінде Tenable компаниясының бұрынғы CEO-сы Амит Йоранның інісі Элад Йоранды атайды.

Integrity Partners Candiru активтері мен барлық қызметкерін жаңа компанияға көшірді. Calcalist дерегінше, оған АҚШ санкциялары қолданылмайды. Мәміленің екінші кезеңі Candiru экспорт лицензияларын жаңа компанияға беруге рұқсат етіле ме, жоқ па, соған байланысты. Calcalist бағаның төмен болуы лицензиялардың қайтарып алынуы мен АҚШ санкцияларынан кейін бизнестің айтарлықтай құлдырағанын көрсетеді деп болжайды. Candiru пікір білдіруден бас тартты.

Қазір не болып жатыр (2026 жылғы қазан)

2026 жылғы 16 қазанда Citizen Lab AdFection схемасын сипаттады. BleepingComputer дерегінше, бұл коммерциялық тыңшы бағдарламаның таргеттелген жарнама арқылы жеткізілгенінің алғашқы ашық техникалық дәлелі. Құрбанға ештеңе басудың қажеті болмаған: хабарландыру құрылғыда жүктелсе болғаны.

Зерттеушілер дерегінше, делдал израильдік Discover-Tech компаниясы болды. Ол жарнама көрсетілімдерін кәдімгі жарнама желілері мен биржалар арқылы сатып алып, хабарландыруларға скрипт енгізген. Компания сервері құрылғының IP-мекенжайы мен жарнамалық идентификаторын тексерген. Керекті нысана қосымша код алған, қалғандарына ештеңе келмеген.

Есептің негізгі сандары:

• Al Jazeera зерттеушілерге 2024–2025 жылдары өз қызметкерлерінің кемінде 45 құрылғысына жасалған шабуыл туралы дерек берді;
• желі логтары Discover-Tech серверлерінен Candiru тексеру серверлеріне, одан әрі тыңшы бағдарламаны басқару серверлеріне апаратын тізбекті көрсетті;
• 2026 жылғы наурыз бен маусым аралығында операция жарнама аукциондарында 3,77 млрд мөлшерлеме жасап, 442 млн-ын ұтты;
• скрипті бар хабарландырулар Android мен iOS-тағы 75 373 қосымшада және 120 768 сайтта шыққан — бұл жұқтыру саны емес, кодты тек таңдалған нысаналар алған.

Зерттеушілер жұқтырылған Windows компьютерінен DLL кітапханасын тауып, оны жоғары сенімділікпен Candiru-ға телиді. Есептен кейін Google, IAB Europe, Beeswax, Eskimi және Vungle операцияға қатысты аккаунттарды өшіріп, оның домендерін бұғаттады. Candiru да, оның жаңа иесі де бұл есеп туралы ашық пікір айтқан жоқ.

Дереккөздер: Citizen Lab — Candiru туралы зерттеу (2021), Microsoft — SOURGUM және DevilsTongue, Forbes — Candiru және өзбек ізі, Al Jazeera — Citizen Lab-тың Candiru туралы есебі, Calcalist — Candiru-дың Integrity Partners қорына сатылуы, BleepingComputer — таргеттелген жарнама арқылы шабуылдар, Wikipedia — Candiru