Operação de stalkerware Spyhide foi hackeada, renomeada como Oospy e morreu de novo em semanas

O Spyhide era um aplicativo de monitoramento de celular que facilitava a vigilância de dezenas de milhares de donos de dispositivos Android ao redor do mundo. Stalkerware como ele é instalado no celular da vítima, muitas vezes por alguém que conhece sua senha, e então rouba continuamente contatos, mensagens, fotos, registros de chamadas, gravações e histórico de localização detalhado.

Em 2023, uma invasão expôs a operação e os administradores que lucravam com ela, e o site do Spyhide desapareceu da internet — mas seu servidor de back-end, hospedado em um domínio totalmente diferente, permaneceu online e continuou se comunicando com os celulares que monitorava. Isso permitiu que os administradores relançassem o serviço no final de julho de 2023 como Oospy sem interromper a espionagem em si.

O segundo ato durou semanas. O TechCrunch identificou dois administradores, incluindo Mohammad (Mojtaba) Arasteh, que confirmou ter trabalhado no projeto "vários anos atrás como programador", mas negou envolvimento com o Oospy. Um erro na página de checkout do Oospy expôs o nome do titular da conta no endereço PayPal que recebia os pagamentos dos clientes, e o Oospy logo deixou de aceitar PayPal. Em 5 de outubro de 2023, a hospedagem Hetzner tirou do ar o servidor de back-end — que armazenava dados roubados de celulares de milhares de dispositivos Android — por violar seus termos de serviço, encerrando a capacidade de funcionamento da operação.

Pelo menos 60.000 vítimas no mundo todo, incluindo milhares nos EUA; a reformulação sobreviveu semanas antes de a hospedagem do servidor rescindir o contrato.

A reformulação manteve o back-end queimado vivo em seu domínio original, então a mesma infraestrutura continuou sendo um alvo e um rastro.

A economia do stalkerware rodava sobre trilhos convencionais: o PayPal processava os pagamentos dos clientes apesar de políticas que proíbem spyware, e essa dependência se tornou a segunda exposição.

A exposição se agravou quando os pesquisadores nomearam os administradores — cada detalhe operacional, até um sobrenome de família compartilhado em uma conta PayPal, virou evidência.

A hospedagem foi a contraparte que nenhuma reformulação poderia substituir: a Hetzner aplicou seus termos de serviço e desligou o servidor.

Uma reformulação conserta o nome, não o vazamento: o mesmo back-end, os mesmos trilhos de pagamento e os mesmos erros operacionais vão te encontrar uma segunda vez.

O site do Oospy saiu do ar por completo logo após o TechCrunch contatar Arasteh, e o desligamento do servidor marcou o fim da capacidade de operação do Spyhide e do Oospy — por enquanto. Eles seguiram o stalkerware polonês LetMeSpy, que encerrou as atividades após um vazamento de dados em junho de 2023, e o SpyTrac, um dos maiores aplicativos de spyware para Android conhecidos, que desapareceu após uma investigação do TechCrunch ligá-lo à Support King — a fabricante que a FTC havia banido do setor de vigilância após um vazamento anterior.