谷歌的威胁分析小组(TAG) 表示，国家支持的威胁行为者使用五个零日漏洞来安装由商业监控开发商Cytrox开发的Predator间谍软件。部分攻击活动开始于2021年8月至2021年10月之间，攻击者利用针对Chrome和Android 操作系统的零日漏洞在最新的Android设备上植入Predator 间谍软件。

Google TAG成员Clement Lecigne和Christian Resell说：“这些漏洞是由一家商业监控公司 Cytrox 打包并出售给不同的政府支持的参与者，这些参与者至少在三个活动中使用了这些漏洞。”根据谷歌的分析，购买并使用这些漏洞利用间谍软件感染安卓目标的政府支持的恶意行为者来自埃及、亚美尼亚、希腊、马达加斯加、科特迪瓦、塞尔维亚、西班牙和印度尼西亚。这些发现与CitizenLab于2021年12月发布的关于Cytrox雇佣间谍软件的报告一致，当时其研究人员在逃亡的埃及政治家 Ayman Nour 的电话中发现了该恶意工具。Nour的手机也感染了NSO Group的Pegasus间谍软件，根据 CitizenLab 的评估，这两种工具由两个不同的政府客户操作。

这些活动中使用的五个以前未知的0-day漏洞包括：

Chrome中的 CVE- 2021-37973、  CVE-2021-37976、  CVE-2021-38000、  CVE-2021-38003

Android中的 CVE-2021-1048

威胁参与者在三个不同的活动中部署了针对这些零日漏洞的攻击：

1. 活动 #1 -从Chrome 重定向到 SBrowser (CVE-2021-38000)
2. 活动 #2 - Chrome 沙盒逃逸（CVE-2021-37973、CVE-2021-37976）
3. 活动 #3 - 完整的 Android 0day漏洞利用链（CVE-2021-38003、CVE-2021-1048）

谷歌TAG分析师表示，“这三个活动都通过电子邮件向目标Android用户提供了模仿 URL 缩短服务的一次性链接。但它们是有限制的，根据我们的评估，活动目标数量每次都是几十个用户。当目标用户单击后，该链接会将目标重定向到攻击者拥有的域，该域在将浏览器重定向到合法网站之前传递了漏洞。如果链接失效，则用户被直接重定向到合法网站。”这种攻击技术也被用于记者和其他一些被警告说是政府支持的攻击目标的谷歌用户。在这些活动中，攻击者首先安装了带有 RAT功能的Android Alien银行木马，用于加载Predator Android植入程序，并允许录制音频、添加 CA 证书和隐藏应用程序。

该报告是2021年7月对当年在Chrome、Internet Explorer 和 WebKit (Safari) 中发现的其他四个 0day漏洞的分析的后续报告。正如 Google TAG 研究人员透露的那样，与俄罗斯外国情报局 (SVR) 有关联的俄罗斯支持的政府黑客利用 Safari 零日漏洞攻击西欧国家政府官员的 iOS 设备。谷歌TAG 周四补充说：“TAG正在积极跟踪30多家向政府支持的参与者出售漏洞或监视设备的供应商，这些供应商的复杂程度和公开曝光程度各不相同。”

参考来源：https://www.bleepingcomputer.com/news/security/google-predator-spyware-infected-android-devices-using-zero-days/