Documenti interni trafugati dall'azienda di spyware mercenario Intellexa sono stati analizzati da Amnesty International, Haaretz e Inside Story, rivelando un inventario sistematico di almeno 14 zero-day per Android, iOS, Chrome e Arm Mali GPU. La pubblicazione, avvenuta l'11 agosto 2026, documenta per la prima volta la trasformazione di Predator in un servizio SaaS dove il vendor non solo vende la piattaforma, ma opera direttamente la sorveglianza dei clienti governativi tramite accesso remoto.
Il dossier tecnico, corroborato da Google Threat Intelligence Group, espone catene di exploit multi-stadio, nuovi vettori di consegna basati sulla pubblicità programmatica mobile, e una violazione strutturale del principio di separazione tra fornitore e operatore che espone Intellexa a potenziali rivendicazioni di responsabilità legale per abusi dei diritti umani.
- Documenti trafugati confermano almeno 14 zero-day per Android, iOS, Chrome e Arm Mali GPU, sviluppati internamente o procurati da entità esterne
- Google TAG ha osservato CVE-2025-6554 (type confusion V8, CVSS 8.1) in attività in-the-wild in Arabia Saudita nel giugno 2025
- Il vettore Aladdin abusa l'ecosistema pubblicitario mobile per fingerprinting e redirect a exploit server senza interazione utente
- Personale Intellexa ha accesso remoto ai sistemi di sorveglianza dei clienti governativi tramite TeamViewer, secondo citazione diretta di Amnesty International
Il catalogo zero-day: da Chrome alle GPU Mali
La Fonte 1 elenca 14 CVE specifici associati alle operazioni di Intellexa, con convergenza sui dettagli tecnici da parte di advisory vendor primari. CVE-2025-6554, una type confusion nel motore JavaScript V8 di Chrome con CVSS 8.1, è stato scoperto da Clément Lecigne del Google Threat Intelligence Group ed è stato osservato in-the-wild in Arabia Saudita nel giugno 2025. CVE-2025-48543, use-after-free in Android Runtime con CVSS 7.4, è stato confermato da Google con exploit attivo.
La catena iOS documentata per il 2023 combina tre CVE con patch Apple: CVE-2023-41993 (WebKit JIT RCE, CVSS 8.8), CVE-2023-41992 (kernel IPC use-after-free, CVSS 7.8) e CVE-2023-41991 (certificate validation bypass). Questa sequenza, utilizzata contro obiettivi in Egitto, introduce il framework JSKit descritto da Google TAG come "well maintained, supports a wide range of iOS versions, and is modular enough to support different Pointer Authentication Code (PAC) bypasses and code execution techniques".
Il framework opera in memoria con esecuzione Mach-O, eludendo le protezioni standard. A valle, il payload PREYHUNTER si articola nei moduli Watcher, che monitora i crash e implementa tecniche anti-analisi, e Helper, che intercetta le chiamate VoIP e attiva la cattura fotocamera. CVE-2024-4610, use-after-free nelle GPU Arm Mali Bifrost/Valhall, completa il panorama con un punto di ingresso hardware raramente documentato in operazioni di spyware mercenario.
Aladdin e l'arsenale pubblicitario: zero-click sull'ecosistema programmatico
Tra i vettori di consegna, il dossier distingue tattici e strategici. Triton, noto dal 2023, è affiancato da Thor e Oberon, i cui dettagli operativi non sono stati divulgati. Il vettore strategico Mars/Jupiter implementa injection di rete AitM (Adversary-in-the-Middle) con cooperazione di ISP o operatori telefonici, modalità che implica la potenziale complicità inconsapevole di infrastrutture di comunicazione legittime.
L'elemento più innovativo è Aladdin, in sviluppo dalmeno dal 2022. Il sistema abusa l'ecosistema programmatic advertising mobile per fingerprinting del dispositivo e redirect silenzioso a exploit server, senza richiedere interazione utente. Google ha collaborato all'identificazione e chiusura di account aziendali creati da Intellexa per veicolare pubblicità malevola. Recorded Future ha collegato l'operazione alle società Pulse Advertise e MorningStar TEC.
Il brief non specifica se Aladdin sia attualmente operativo in produzione né la natura esatta dei dati esposti attraverso il vettore pubblicitario.
Il cloud della sorveglianza: quando il vendor diventa operatore
La rivelazione che qualifica il modello di business Intellexa come "cloud della sorveglianza" è l'accesso remoto del personale aziendale ai sistemi dei clienti governativi. La fonte cita direttamente Jurre van Bergen, Amnesty International Security Lab: "The fact that, at least in some cases, Intellexa appears to have retained the capability to remotely access Predator customer logs – allowing company staff to see details of surveillance operations and targeted individuals raises questions about its own human rights due diligence processes".
La stessa fonte aggiunge: "If a mercenary spyware company is found to be directly involved in the operation of its product, then by human rights standards, it could potentially leave them open to claims of liability in cases of misuse and if any human rights abuses are caused by the use of spyware". Questa configurazione annulla la separazione teorica tra vendor e cliente che ha storicamente protetto le aziende di spyware mercenario da contestazioni legali dirette.
Il brief non conferma se l'accesso TeamViewer sia ancora attivo o sia stato dismesso, né specifica per quali clienti governativi fosse implementato oltre alla formulazione "at least some of its customers".
La geografia dello spyware: attività nonostante le sanzioni
Intellexa e i suoi dirigenti sono sotto sanzioni USA dal 2025 per traffico di exploit e minaccia alle libertà civili. Nonostante questo, Recorded Future ha rilevato Predator attivo in oltre una dozzina di paesi, principalmente in Africa, nel giugno 2025. La Fonte 1 elenca clienti attivi comunicanti con infrastruttura Predator: Arabia Saudita, Kazakistan, Angola, Mongolia; clienti cessati: Botswana, Trinidad e Tobago, Egitto.
Predator è stato commercializzato anche sotto i nomi Helios, Nova, Green Arrow e Red Arrow, strategia di rebranding che complica il tracking delle infrastrutture da parte dei difensori e delle autorità di regolazione.
"The JSKit framework is well maintained, supports a wide range of iOS versions, and is modular enough to support different Pointer Authentication Code (PAC) bypasses and code execution techniques" — Google Threat Intelligence Group
Perché è importante
Il brief non documenta misure correttive specifiche né raccomandazioni operative dal vendor. La fonte non specifica se i 14 CVE rappresentino un elenco esaustivo o parziale dell'inventario zero-day di Intellexa, né identifica l'origine esatta dei documenti trafugati (whistleblower, breach o ex-dipendente). L'entità esterna da cui Intellexa ha procurato alcuni exploit non è nominata, e il ruolo operativo di Thor e Oberon resta non divulgato.
La fonte non chiarisce inoltre se l'accesso remoto via TeamViewer sia stato dismesso o sia ancora attivo. La data di pubblicazione della Fonte 1 (2026-08-11) appare anomala rispetto al contenuto che cita eventi del 2025; potrebbe richiedere verifica.
Per le aziende tech, la rivelazione impone un nuovo calcolo del rischio spyware: i vettori pubblicitari zero-click espandono la superficie d'attacco oltre le tradizionali piattaforme di messaggistica, coinvolgendo l'intero ecosistema programmatico mobile. Per gli operatori telco e ISP, l'injection di rete AitM solleva questioni di compliance e responsabilità legale. Per governi e ONG, la documentazione dell'accesso vendor costituisce un precedente per la responsabilizzazione legale dei fornitori di spyware mercenario.
La domanda del 2026: chi controlla il controllore?
Il dossier Intellexa inverte la narrazione consolidata dello spyware mercenario come prodotto autopilota nelle mani dei clienti governativi. La documentazione dell'accesso remoto, della manutenzione attiva dei framework exploit, e della capacità di vedere i log delle operazioni di sorveglianza, trasforma il vendor da fornitore a co-operatore. Questa ridefinizione del ruolo, se confermata in contesti legali, potrebbe erodere il riparo giuridico che ha permesso al settore di proliferare.
La persistenza delle operazioni nonostante le sanzioni USA, la diversificazione dei vettori verso l'advertising programmatico, e la modularità dei framework iOS come JSKit suggeriscono che il modello di business dello spyware mercenario stia evolvendo verso una struttura più resiliente, più diffusa e più difficile da attribuire. Il 2026 apre con la prova che la separazione vendor-cliente era, almeno in un caso, una finzione convenzionale.
Domande frequenti
Cos'è specificamente il framework JSKit?
Secondo la citazione diretta di Google Threat Intelligence Group riportata nella Fonte 1, è un framework iOS modulare che supporta un ampio range di versioni del sistema operativo, implementa bypass diversi per il Pointer Authentication Code e tecniche di esecuzione di codice Mach-O direttamente dalla memoria.
Perché l'accesso TeamViewer è rilevante oltre il singolo caso?
La Fonte 1 cita Amnesty International per sostenere che questa pratica, se documentata come coinvolgimento diretto del vendor nelle operazioni, espone Intellexa a rivendicazioni di responsabilità legale per abusi dei diritti umani secondo standard internazionali, rompendo la protezione convenzionale della semplice fornitura tecnologica.
Qual è la differenza tra vettori tattici e vettori strategici nel dossier?
La Fonte 1 classifica Triton, Thor e Oberon come vettori tattici (modalità di consegna diretta del payload), mentre Mars/Jupiter e Aladdin sono vettori strategici che sfruttano rispettivamente l'infrastructure di rete (AitM con ISP) e l'ecosistema pubblicitario programmatico per raggiungere obiettivi a scala.
Fonti
- https://thehackernews.com/2025/12/intellexa-leaks-reveal-zero-days-and.html
- https://thehackernews.com/2023/12/multi-million-dollar-predator-spyware.html
- https://thehackernews.com/2025/09/android-security-alert-google-patches.html
- https://thehackernews.com/2025/07/google-patches-critical-zero-day-flaw.html
- https://thehackernews.com/2023/09/apple-rushes-to-patch-3-new-zero-day.html
- https://thehackernews.com/2024/06/arm-warns-of-actively-exploited-zero.html
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.