Amnesty International a déclaré vendredi qu’il avait déterminé qu’un exploit zero-day vendu par un fournisseur d’exploitation controversé Cellebrite a été utilisé pour compromettre le téléphone d’un étudiant serbe qui avait critiqué le gouvernement de ce pays.
L’organisation des droits de l’homme a d’abord appelé les autorités serbes en décembre car ce qu’il a dit était son «utilisation omniprésente et courante des logiciels espions» dans le cadre d’une campagne de «contrôle et répression plus larges de l’État dirigé contre la société civile». Ce rapport indique que les autorités déploient des exploits vendus par Cellebrite et NSO, un vendeur d’exploitation distinct dont les pratiques ont également été fortement critiquées au cours de la dernière décennie. En réponse au rapport de décembre, Cellebrite a déclaré avoir suspendu les ventes à des «clients concernés» en Serbie.
Campagne de surveillance
Vendredi, Amnesty International a déclaré qu’il avait découvert des preuves d’un nouvel incident. Cela implique la vente de Cellebrite d’une chaîne d’attaque qui pourrait vaincre l’écran de verrouillage des appareils Android entièrement corrigés. Les exploits ont été utilisés contre un étudiant serbe qui avait critiqué les responsables serbes. La chaîne a exploité une série de vulnérabilités dans les pilotes de périphériques utilisés par le noyau Linux pour prendre en charge le matériel USB.
«Ce nouveau cas fournit une preuve supplémentaire que les autorités en Serbie ont poursuivi leur campagne de surveillance de la société civile au lendemain de notre rapport, malgré des appels généralisés à la réforme, à la fois en Serbie et au-delà, ainsi qu’une enquête sur l’utilisation abusive de son produit, annoncé par Cellebrite», a déclaré les auteurs du rapport.
Amnesty International a d’abord découvert les preuves de la chaîne d’attaque l’année dernière tout en enquêtant sur un incident séparé en dehors de la Serbie impliquant le même pontage de lien de verrouillage Android. Les auteurs du rapport de vendredi ont écrit: