Facebook verklagt Sicherheitsanbieter NSO Group wegen WhatsApp-Zero-Day

Facebook hat bei einem US-Gericht den israelischen Sicherheitsanbieter NSO Group verklagt. Das Unternehmen, das Spyware-Produkte an Regierungen und Behörden vertreibt, soll auch eine Zero-Day-Lücke in WhatsApp verkauft und damit an deren Verbreitung beteiligt gewesen sein, die gegen mehr als 1400 Nutzer eingesetzt wurde.

Ans Licht kam die Sicherheitslücke, die in der VoIP-Funktion steckte, im Mai durch einen Bericht der Financial Times. Sie ermöglichte das Einschleusen einer von der NSO Group entwickelten Spionagesoftware über die Telefonfunktion von WhatsApp. Eine Infektion kam auch dann zustande, wenn der Empfänger des Telefonats den fraglichen Anruf nicht annahm. Auch sollen solche Anrufe nicht in der Anrufliste gespeichert worden sein.

„WhatsApp empfiehlt den Anwendern, auf die neueste Version unserer App zu aktualisieren und ihr mobiles Betriebssystem auf dem neuesten Stand zu halten, um sich vor potenziellen gezielten Angriffen zu schützen, die dazu dienen, die auf mobilen Geräten gespeicherten Informationen zu gefährden“, erklärte ein WhatsApp-Sprecher zu dem Zeitpunkt.

Laut Will Cathcart, Head of WhatsApp bei Facebook, bestätigte eine interne Untersuchung nun, dass die NSO Group Urheber der Schadsoftware ist. In einem Beitrag für die Washington Post schreibt Cathcart: „Heute haben wir eine Klage beim Bundesgericht eingereicht, die erklärt, was passiert ist, und den Einbruch auf ein internationales Technologieunternehmen namens NSO Group zurückführt.“

Bei der Untersuchung sei Facebook auf Server und Hosting-Dienste „mit einer Verbindung zur NSP Group gestoßen. Das gelte auch für bestimmte WhatsApp-Konten, die bei den Angriffen benutzt worden seien. „Während ihr Angriff sehr anspruchsvoll war, waren die Versuche, die Spuren zu verwischen, nicht ganz erfolgreich“, ergänzte der Manager.

Der Klageschrift zufolge wurden unter anderem die Smartphones von Anwälten, Journalisten, Menschenrechtsaktivisten, politischen Flüchtlingen, Diplomaten und weiteren hochrangigen Regierungsvertretern kompromittiert. Laut einer neu veröffentlichten FAQ-Seite wurden alle Betroffenen über die Angriffe informiert. Ziel der Anklage sei es, die NSO Group nach US-Gesetzen wie dem Computer Fraud and Abuse Act (CFAA) zur Rechenschaft zu ziehen.

Die NSO Group wiederum betonte bisher stets, dass sie ihre Produkte nur an ihre Kunden verkaufe. Man sei nicht dafür verantwortlich, was die Kunden mit den Spionage-Tools machten. Facebook will nun das Gegenteil sowie eine Beteiligung an einer Hacking-Kampagne beweisen.

In einer Stellungnahme, die ZDNet USA vorliegt, wies die NSO Group zudem die Anschuldigungen zurück. „Wir bestreiten die heutigen Vorwürfe und werden sie mit Nachdruck bekämpfen. Der einzige Zweck von NSO ist es, lizenzierten staatlichen Nachrichtendiensten und Strafverfolgungsbehörden Technologie zur Verfügung zu stellen, um sie bei der Bekämpfung von Terrorismus und schwerer Kriminalität zu unterstützen. Unsere Technologie ist nicht für die Verwendung gegen Menschenrechtsaktivisten und Journalisten konzipiert oder lizenziert. Es hat in den letzten Jahren dazu beigetragen, Tausende von Menschenleben zu retten.“