Een mensenrechtenadvocaat uit de Pakistaanse provincie Balochistan ontving een verdachte link op WhatsApp van een onbekend nummer. Dit was de eerste keer dat een lid van het maatschappelijk middenveld in het land het doelwit was van Intellexa’s Predator-spyware, aldus Amnesty International in een rapport.
De link, aldus de non-profitorganisatie, is een “Predator-aanvalspoging gebaseerd op het technische gedrag van de infectieserver en op specifieke kenmerken van de eenmalige infectielink die consistent waren met eerder waargenomen Predator 1-click-links.” Pakistan heeft de beschuldigingen afgewezen en verklaard dat er “geen greintje waarheid in zit”.
De bevindingen komen uit een nieuw gezamenlijk onderzoek dat is gepubliceerd in samenwerking met de Israëlische krant Haaretz, de Griekse nieuwssite Inside Story en de Zwitserse techsite Inside IT. Het is gebaseerd op documenten en ander materiaal dat uit het bedrijf is gelekt, waaronder interne documenten, verkoop- en marketingmateriaal en trainingsvideo’s.
Intellexa is de maker van een huursspyware-tool genaamd Predator die, vergelijkbaar met Pegasus van NSO Group, heimelijk gevoelige gegevens kan verzamelen van de Android- en iOS-apparaten van doelwitten zonder hun medeweten. Uit de lekken blijkt dat Predator ook op de markt is gebracht als Helios, Nova, Green Arrow en Red Arrow.
Vaak gaat het hierbij om het gebruik van verschillende initiële toegangsvectoren, zoals berichtenplatforms, die voorheen niet bekendgemaakte fouten als wapen gebruiken om de spyware heimelijk te installeren, via een zero-click- of 1-click-benadering. De aanval vereist daarom dat een kwaadaardige link in de telefoon van het doelwit wordt geopend om de infectie te activeren.
Mocht het slachtoffer uiteindelijk op de boobytrap-link klikken, dan wordt een browserexploit voor Google Chrome (op Android) of Apple Safari (op iOS) geladen om initiële toegang tot het apparaat te krijgen en de belangrijkste spyware-payload te downloaden. Volgens gegevens van Google Threat Intelligence Group (GTIG) is Intellexa in verband gebracht met de exploitatie van de volgende zero-days, ofwel intern ontwikkeld of aangeschaft bij externe entiteiten:
Eén van deze iOS-zero-day-exploitketens die in 2023 tegen doelen in Egypte werd gebruikt, betrof het gebruik van CVE-2023-41993 en een raamwerk genaamd JSKit om native code-uitvoering uit te voeren. GTIG zei dat het dezelfde exploit en hetzelfde raamwerk heeft waargenomen die worden gebruikt bij een watergataanval, georkestreerd door door de Russische overheid gesteunde hackers op Mongoolse overheidswebsites, waardoor de mogelijkheid ontstaat dat de exploits afkomstig zijn van een derde partij.
“Het JSKit-framework is goed onderhouden, ondersteunt een breed scala aan iOS-versies en is modulair genoeg om verschillende Pointer Authentication Code (PAC)-bypasses en code-uitvoeringstechnieken te ondersteunen”, legt Google uit. “Het raamwerk kan Mach-O binaire bestanden in het geheugen parseren om aangepaste symbolen op te lossen en kan uiteindelijk Mach-O binaire bestanden handmatig in kaart brengen en rechtstreeks vanuit het geheugen uitvoeren.”
Na de exploitatie van CVE-2023-41993 ging de aanval naar de tweede fase om uit de Safari-sandbox te ontsnappen en een onbetrouwbare derde fase-payload genaamd PREYHUNTER uit te voeren door gebruik te maken van CVE-2023-41991 en CVE-2023-41992. PREYHUNTER bestaat uit twee modules –
- Watcher, die crashes monitort, zorgt ervoor dat het geïnfecteerde apparaat geen verdacht gedrag vertoont en gaat over tot het beëindigen van het exploitatieproces als dergelijke patronen worden gedetecteerd
- Helper, die communiceert met de andere delen van de exploit via een Unix-socket en hooks inzet om VoIP-gesprekken op te nemen, een keylogger uit te voeren en foto’s van de camera vast te leggen
Er wordt ook gezegd dat Intellexa een aangepast raamwerk gebruikt dat de exploitatie van verschillende V8-fouten in Chrome vergemakkelijkt – dat wil zeggen CVE-2021-38003, CVE-2023-2033, CVE-2023-3079, CVE-2023-4762 en CVE-2025-6554 – waarbij misbruik van CVE-2025-6554 in juni werd waargenomen. 2025 in Saoedi-Arabië.
Zodra de tool is geïnstalleerd, verzamelt deze gegevens van berichtenapps, oproepen, e-mails, apparaatlocaties, schermafbeeldingen, wachtwoorden en andere informatie op het apparaat en exfiltreert deze naar een externe server die zich fysiek in het land van de klant bevindt. Predator is ook uitgerust met de mogelijkheid om de microfoon van het apparaat te activeren om geruisloos omgevingsgeluid vast te leggen en de camera te gebruiken om foto’s te maken.
Het bedrijf werd, samen met enkele belangrijke leidinggevenden, vorig jaar onderworpen aan Amerikaanse sancties wegens het ontwikkelen en verspreiden van het surveillance-instrument en het ondermijnen van burgerlijke vrijheden. Ondanks voortdurende openbare berichtgeving maakte de Insikt Group van Recorded Future in juni 2025 bekend dat het Predator-gerelateerde activiteiten had gedetecteerd in meer dan een dozijn landen, voornamelijk in Afrika, wat duidt op een “groeiende vraag naar spywaretools”.
Misschien wel de belangrijkste onthulling is dat mensen die bij Intellexa werkten naar verluidt de mogelijkheid hadden om op afstand toegang te krijgen tot de bewakingssystemen van ten minste enkele van zijn klanten, inclusief die zich in de gebouwen van zijn overheidsklanten bevinden, met behulp van TeamViewer.
“Het feit dat Intellexa, althans in sommige gevallen, de mogelijkheid lijkt te hebben behouden om op afstand toegang te krijgen tot de logboeken van Predator-klanten – waardoor het personeel van het bedrijf details van surveillanceoperaties en gerichte individuen kan zien, roept vragen op over haar eigen due diligence-processen op het gebied van de mensenrechten”, zegt Jurre van Bergen, technoloog bij Amnesty International Security Lab, in een persbericht.
“Als blijkt dat een huursoldaat-spywarebedrijf rechtstreeks betrokken is bij de werking van zijn product, kan het hen volgens mensenrechtennormen mogelijk openstellen voor aansprakelijkheidsclaims in gevallen van misbruik en als mensenrechtenschendingen worden veroorzaakt door het gebruik van spyware.”
Het rapport heeft ook de verschillende leveringsvectoren benadrukt die Intellexa gebruikt om het openen van de kwaadaardige link te activeren zonder dat het doelwit er handmatig op hoeft te klikken. Dit omvat tactische vectoren zoals Triton (openbaar gemaakt in oktober 2023), Thor en Oberon (beide in dit stadium onbekend), evenals strategische vectoren die op afstand worden geleverd via internet of een mobiel netwerk.
De drie strategische vectoren worden hieronder opgesomd:
- Mars en Jupiter, dit zijn netwerkinjectiesystemen die samenwerking vereisen tussen de Predator-klant en de mobiele operator of internetprovider (ISP) van het slachtoffer om een tegenstander-in-the-middle-aanval (AitM) uit te voeren door te wachten tot het doelwit een niet-gecodeerde HTTP-website opent om de infectie te activeren of wanneer het doelwit een binnenlandse HTTPS-website bezoekt die al is onderschept met behulp van geldige TLS-certificaten.
- Aladdin, dat het mobiele reclame-ecosysteem exploiteert om een zero-click-aanval uit te voeren die eenvoudigweg wordt geactiveerd bij het bekijken van de speciaal vervaardigde advertentie. Aangenomen wordt dat het systeem al sinds 2022 in ontwikkeling is.
“Het Aladdin-systeem infecteert de telefoon van het doelwit door een kwaadaardige advertentie, gemaakt door de aanvaller, op de telefoon van het doelwit te laten verschijnen”, aldus Amnesty. “Deze kwaadaardige advertentie kan worden weergegeven op elke website die advertenties weergeeft.”
Google zei dat het gebruik van kwaadaardige advertenties op platforms van derden een poging is om het advertentie-ecosysteem te misbruiken voor het nemen van vingerafdrukken van gebruikers en het omleiden van gerichte gebruikers naar Intellexa’s exploit-leveringsservers. Het zei ook dat het met andere partners heeft samengewerkt om de bedrijven te identificeren die Intellexa heeft opgericht om de advertenties te maken en die accounts te sluiten.
In een afzonderlijk rapport zegt Recorded Future dat het twee bedrijven heeft ontdekt, Pulse Advertise en MorningStar TEC, die actief lijken te zijn in de reclamesector en waarschijnlijk verband houden met de Aladdin-infectievector. Bovendien zijn er aanwijzingen dat Intellexa-klanten in Saoedi-Arabië, Kazachstan, Angola en Mongolië nog steeds communiceren met de meerlaagse infrastructuur van Predator.
“Klanten in Botswana, Trinidad en Tobago en Egypte staakten daarentegen de communicatie in respectievelijk juni, mei en maart 2025”, voegde het eraan toe. “Dit kan erop wijzen dat deze entiteiten rond die tijd stopten met het gebruik van Predator-spyware, maar het is ook mogelijk dat ze alleen maar hun infrastructuur-instellingen hebben aangepast of gemigreerd.”
