# Gamma Group
> [!high] Empresa de Spyware Comercial - Fabricante do FinFisher/FinSpy
> **Gamma Group** (Gamma International) e uma empresa britanica-alema fabricante de **spyware comercial governamental**, responsavel pelo desenvolvimento do **FinFisher** (também conhecido como FinSpy) - um dos suites de vigilancia mais vendidos para governos e agencias de inteligência do mundo. Diferentemente de APTs estatais, o Gamma Group representa o modelo de **Surveillance-as-a-Service**: vender capacidades ofensivas sofisticadas a governos com historico de violacoes de direitos humanos, incluindo Bahrein, Etiopia, Emirados Arabes e dezenas de outros regimes autoritarios.
## Visão Geral
Gamma Group International e uma empresa com sede no Reino Unido e com operações na Alemanha, fundada em torno de 2005 e ativa até pelo menos 2015 quando uma serie de vazamentos de dados e investigacoes públicas forcou significativa reestruturacao operacional. A empresa vendia o suite FinFisher/FinSpy exclusivamente para **agencias governamentais e de lei** como ferramenta "lawful intercept" - interceptação legal - mas investigadores da Citizen Lab, Privacy International e outros documentaram seu uso sistematico para espionagem de **jornalistas, ativistas, dissidentes politicos e minorias** em paises autoritarios.
O suite FinFisher era uma das ferramentas de vigilancia mais completas do mercado: capacidade de keylogging, interceptação de chamadas Skype, captura de tela em tempo real, acesso a webcam e microfone, tracking de localização em mobile, e exfiltração de arquivos - tudo operado de forma remota e invisivel para o alvo. Em 2014, o grupo de hackers **Phineas Fisher** vazou mais de 40GB de dados internos da Gamma Group, revelando listas de clientes, contratos e manuais tecnicos - expondo o uso sistematico do FinFisher por governos autoritarios.
Em 2015, investigacoes da Privacy International resultaram em **acoes criminais** contra a Gamma Group no Reino Unido, e a empresa foi efetivamente dissolvida/reestruturada. O produto FinSpy continuou sendo oferecido sob marcas associadas (Trovicor, Kryptowire) por entidades relacionadas.
## Distribuição Global do FinFisher (2014-2015)
```mermaid
graph TB
A["FinFisher C2 Servers<br/>25+ paises confirmados<br/>Citizen Lab 2014"] --> B["Oriente Medio + Africa<br/>Bahrein, EAU, Egito<br/>Etiopia, Marrocos"]
A --> C["Asia<br/>Bangladesh, Paquistao<br/>Mongolia, Filipinas"]
A --> D["Europa + Americas<br/>Austria, Hungria, Mexico<br/>Canada, Australia"]
style A fill:#c0392b,color:#fff
style B fill:#8e44ad,color:#fff
style C fill:#2980b9,color:#fff
style D fill:#e67e22,color:#fff
```
## Attack Flow - Implantação FinFisher em Disidente
```mermaid
graph TB
A["Entrega<br/>Spear-phishing ou<br/>update de software falso"] --> B["Engenharia Social<br/>Atualização falsa do iTunes<br/>ou Skype para Windows"]
B --> C["Implante FinSpy<br/>Spyware instalado silenciosamente<br/>T1055 - process injection"]
C --> D["Vigilancia Total<br/>Keylog + screenshot + mic<br/>T1056.001 + webcam"]
D --> E["Coleta de Dados<br/>Arquivos + comúnicacoes<br/>T1005 - local data"]
E --> F["Exfiltração<br/>Para C2 do cliente governo<br/>T1041 - canal C2 cifrado"]
F --> G["Relatorio ao Regime<br/>Dissidente identificado<br/>Dados entregues ao cliente"]
style A fill:#1a5276,color:#fff
style B fill:#922b21,color:#fff
style C fill:#c0392b,color:#fff
style D fill:#8e44ad,color:#fff
style E fill:#e67e22,color:#fff
style F fill:#117a65,color:#fff
style G fill:#145a32,color:#fff
```
## Casos Documentados
| Pais Cliente | Alvos Documentados | Fonte |
|-------------|---------------------|-------|
| Bahrein | Ativistas pro-democracia, opositores | Citizen Lab 2012 |
| Etiopia | Jornalistas e dissidentes etiopes em exilio | Citizen Lab 2014 |
| Emirados Arabes | Emiradenses criticos ao governo | Citizen Lab 2015 |
| Mexico | Jornalistas e advogados de direitos humanos | Citizen Lab 2017 |
| Bangladesh | Ativistas e politicos de oposicao | Citizen Lab 2013 |
## Arsenal
| Ferramenta | Categoria | Capacidades |
|-----------|-----------|-------------|
| [[s0182-finfisher\|FinFisher]] | Suite spyware | Suite completo: keylog, screenshot, mic/cam, tracking |
| [[finspy\|FinSpy]] | Componente mobile | Versoes Android/iOS; interceptação comúnicacoes |
## Técnicas Utilizadas
- [[t1566-001-spearphishing-attachment|T1566.001 - Spearphishing Attachment]]
- [[t1056-001-keylogging|T1056.001 - Keylogging]]
- [[t1005-data-from-local-system|T1005 - Data from Local System]]
- [[t1071-001-web-protocols|T1071.001 - Web Protocols]]
- [[t1041-exfiltration-over-c2-channel|T1041 - Exfiltration Over C2 Channel]]
- [[t1055-process-injection|T1055 - Process Injection]]
## Software Utilizado
- [[s0182-finfisher|FinFisher]]
- [[finspy|FinSpy]]
## Relevância para o Brasil e LATAM
> [!high] Historico Documentado no Brasil e Relevância para Jornalistas e Ativistas
> O FinFisher/FinSpy foi detectado em infraestrutura C2 no Brasil e no Mexico por pesquisadores da Citizen Lab. Embora o governo brasileiro nao tenha sido confirmado como cliente ativo, a **presenca de infraestrutura** e a relevância para proteção de jornalistas, ativistas e grupos de direitos humanos e direta.
Pontos específicos para o contexto brasileiro:
1. **C2 servers no Brasil**: Citizen Lab documentou servidores de comando e controle do FinFisher hospedados em infraestrutura brasileira em 2014-2015 - podendo indicar uso por cliente local ou uso de infraestrutura compromissada como relay
2. **Jornalistas investigativos em risco**: O modelo de implantação via atualizacoes falsas de software (iTunes, Skype) e espear-phishing e diretamente aplicavel a jornalistas brasileiros cobriand temas sensiveis
3. **ONGs e ativistas**: Organizacoes de direitos humanos brasileiras com conexoes internacionais ou focadas em violacoes de regimes parceiros do governo sao perfis de alvos historicos do FinFisher
4. **Legado regulatorio**: O caso Gamma Group contribuiu para debates globais sobre regulação de spyware comercial (Wassenaar Arrangement) - relevante para politica de segurança digital brasileira
## Detecção e Defesa
| Indicador | Técnica | Acao |
|-----------|---------|------|
| Atualizacoes de software (iTunes/Skype) de origem nao-oficial | T1566.001 | Validar assinatura de atualizacoes + canal oficial exclusivo |
| Processo injetando em aplicativos de comunicação | T1055 | EDR behavioral - injection em Skype/Teams/Signal |
| FinSpy - arquivos de configuração cifrados caracteristicos | T1005 | Detecção por IoC de FinFisher (hashes Citizen Lab) |
| Beaconing em intervalos regulares para IP/dominio fora do padrao | T1041 | Network monitoring + lista negra de C2 FinFisher conhecidos |
## Referências
- [1](https://citizenlab.ca/2014/08/cat-video-and-the-death-of-clear-text/) Citizen Lab - FinFisher: Tracking Surveillance Vendors (2014)
- [2](https://www.privacyinternational.org/report/finfisher-we-see-you) Privacy International - FinFisher: We See You
- [3](https://citizenlab.ca/2015/10/mapping-finfishers-continuing-proliferation/) Citizen Lab - Mapping FinFisher's Continuing Proliferation (2015)
- [4](https://www.amnesty.org/en/latest/research/2018/09/connected-against-the-people-surveillance-in-ethiopia/) Amnesty International - FinFisher contra Dissidentes Etiopes