Onderzoekers hebben een nieuwe versie van de Monokle-spyware voor Androidtelefoons gevonden. De malware, die zich als een legitieme app voordoet, heeft toegang tot locatiegegevens wanneer de app niet in gebruik is, kan sms-berichten lezen en versturen, aanvullende software installeren, schermopnames maken, telefoongesprekken beantwoorden, opnames via de camera maken, toetsaanslagen opslaan, audio opnemen, opgeslagen wachtwoorden stelen, het ontgrendelwachtwoord onderscheppen, JavaScript injecteren, een nieuwe device administrator toevoegen en berichten van versleutelde chatapps lezen.

De spyware werd aangetroffen op de telefoon van een Russische programmeur die door de autoriteiten in Rusland was aangehouden op verdenking van het overmaken van geld naar Oekraïne, zo melden onderzoekers van Citizen Lab. Dit is een onderdeel van de universiteit van Toronto, dat onderzoek doet naar het gebruik van politieke macht in cyberspace. Ook doet het veel onderzoek naar het gebruik van spyware tegen activisten, journalisten en dissidenten.

Na vijftien dagen in voorarrest te hebben gezeten kwam de programmeur vrij en kreeg hij zijn Androidtelefoon terug. De man was naar eigen zeggen tijdens zijn voorarrest geslagen om het wachtwoord van zijn toestel af te staan. Nadat hij op vrije voeten was merkte hij verdacht gedrag op zijn telefoon, waaronder een notificatie "Arm cortex vx3 synchronization". Daarop stapte hij naar een organisatie die van spionage en verraad beschuldigde personen in Rusland juridisch bijstaat. Deze organisatie stapte schakelde vervolgens Citizen Lab in.

Onderzoek naar de telefoon leidde naar een legitiem lijkende app die de programmeur zelf niet had geïnstalleerd. Het bleek om een getrojaniseerde versie van de Cube Call Recorder-app te gaan. De app was voorzien van spyware die erg veel lijkt op de Monokle-spyware waar in 2019 al door securitybedrijf Lookout voor werd gewaarschuwd (pdf). Op basis van de vele overeenkomsten stellen de onderzoekers dat het hier om een nieuwe versie van Monokle gaat of nieuwe spyware die op basis van de oude Monokle-code is gebaseerd.

Volgens de onderzoekers laat deze zaak het risico zien als een vijandige veiligheidsdienst fysieke toegang tot een toestel heeft. In dit geval merkte de programmeur verschillende verdachte zaken op, maar de onderzoekers voegen toe dat dit niet in alle gevallen zo is. Iedereen die in een autoritaire staat is aangehouden en zijn telefoon van een veiligheidsdienst terugkrijgt moet ervan uitgaan dat het toestel zonder uitgebreide analyse door experts niet langer is te vertrouwen. Personen in dergelijke situaties doen er dan ook verstandig aan om de hulp van experts in te schakelen, besluiten de onderzoekers.