Як агенти ЦРУ таємно викрадають дані з зламаних смартфонів (без інтернету)

1. Вступ
2. Як працює CIA Highrise Project
3. Інші інструменти ЦРУ
4. висновки

Раніше не раз повідомлялося про декілька інструментах злому ЦРУ, шкідливі програми, які використовуються агентством для віддаленого проникнення і крадіжки даних з цільових систем або смартфонів. І ось недавно WikiLeaks згадав якийсь новий інструмент в арсеналі ЦРУ, що дозволяє викрадати дані. Спробуємо вивчити його і зрозуміти, як його можуть використовувати розвідники.

1. Введення

2. Як працює CIA Highrise Project

3. Інші інструменти ЦРУ

4. Висновки

Вступ

Загальна схема шкідливих програм, що викрадають дані, будується на відправку цих даних після зараження системи через інтернет-з'єднання на віддалений сервер зловмисників. У випадку зі смартфонами працює альтернативний спосіб відправки - через SMS.

Але при зборі вкрадених даних через SMS доводиться мати справу з серйозною проблемою - сортувати та аналізувати масові повідомлення, отримані від декількох цільових пристроїв.

Щоб вирішити цю проблему, ЦРУ створило просте додаток для Android, яке отримало назву Highrise, яке працює як проксі-сервер SMS між зламаними пристроями та сервером прослуховування.

Як працює CIA Highrise Project

Існує ряд інструментів IOC (Інверсія управління, Inversion of Control), що використовують SMS-повідомлення для зв'язку, а HighRise - це проксі-сервер SMS, який забезпечує умовний поділ між пристроєм-жертвою і прослуховуючих сервером, проксіруя вхідні та вихідні SMS-повідомлення.

З усього, про що йдеться в мануалах ЦРУ, можна зробити висновок, що оперативники повинні встановити на свої пристрої Android-додаток під назвою TideCheck, яке налаштоване на отримання всіх вкрадених даних через SMS за допомогою зламаних пристроїв.

Остання відома версія додатка TideCheck (воно ж HighRise v2.0) була розроблена в 2013 році і працює на мобільних пристроях під управлінням Android від 4.0 і до 4.3. Хоча є підстави вважати, що до теперішнього часу вже були випущені версії, що працюють на сучасних версіях Android.

Малюнок 1. Налаштування програми HighRise на Android

Після установки додаток запитує пароль, за замовчуванням він inshallah. Після входу в систему програма відображає три варіанти:

1. Initialize - запуск служби.
2. Show / Edit configuration - налаштування основних параметрів, включаючи URL-адресу поштового сервера для прослуховування, який повинен використовувати HTTPS.
3. Send Message - дозволяє оператору ЦРУ вручну відправляти короткі повідомлення (примітки) на сервер.

Після правильної ініціалізації і настройки додаток постійно працює у фоновому режимі для моніторингу вхідних повідомлень від скомпрометованих пристроїв. Після отримання кожного такого повідомлення HighRise пересилає його на прослуховує сервер ЦРУ по каналу зв'язку, підтримуваного TLS / SSL.

Інші інструменти ЦРУ

Нещодавно з'явилася інформація про ще двох інструментах ЦРУ, що дозволяють агентству перехоплювати облікові дані SSH з операційних систем Windows і Linux з використанням різних векторів атак.

BothanSpy - інструмент, призначений для Windows; Gyrfalcon - атакує клієнт OpenSSH на різних дистрибутивах Linux, включаючи CentOS, Debian, RHEL (Red Hat), openSUSE і Ubuntu.

В цілому, з березня стало відомо про наступні інструменти, які використовуються агентами ЦРУ:

• OutlawCountry - проект ЦРУ, що дозволяє зламувати і віддалено шпигувати за комп'ютерами під управлінням операційних систем Linux.
• ELSA - шкідлива програма ЦРУ, яка відстежує географічне розташування цільових комп'ютерів і ноутбуків, що працюють під управлінням операційної системи Microsoft Windows.
• Brutal Kangaroo - набір інструментів для Windows Microsoft, який використовується шпигунським агентством для атак закритих мереж або комп'ютерів з всередині організацій або підприємств без прямого доступу.
• Cherry Blossom - фреймворк, який використовується для моніторингу інтернет-активності цільових систем шляхом використання вразливостей в пристроях Wi-Fi.
• Pandemic - проект ЦРУ, що дозволяє агентству перетворювати сервери Windows в машини для прихованих атак, які можуть безшумно заражати інші комп'ютери, що представляють інтерес, в цільової мережі.
• Athena - шпигунський фреймворк, був розроблений для віддаленого управління зараженими машинами Windows, працює з версіями від Windows XP до Windows 10.
• AfterMidnight і Assassin - дві шкідливі програми для Windows, розроблені для моніторингу дій на зараженому віддаленому комп'ютері і виконання шкідливих дій.
• Archimedes - інструмент для проведення атак « людина посередині », Імовірно розроблений ЦРУ для атаки комп'ютерів всередині локальної мережі (LAN).
• Scribbles - програмне забезпечення, призначене для вбудовування «веб-маяків» в конфіденційні документи, дозволяючи агентству відстежувати інсайдерів і інформаторів.
• Grasshopper - фреймворк, що дозволяє хакерам ЦРУ легко створювати власні шкідливі програми для злому Windows і обходити антивірусний захист.
• Marble - фреймворк, який використовується агентством для приховування фактичного джерела шкідливих програм.
• Dark Matter - набір експлойтів для злому, призначених для роботи з системами iOS і macOS.
• Weeping Angel - шпигунський інструмент, який використовується хакерами ЦРУ для проникнення в телевізори класу smart TV і перетворює їх в пристрої для підслуховування.
• Year Zero - набори експлойтів для злому популярних програм і обладнання.

висновки

Схоже, що програмісти і хакери, які працюють на ЦРУ, шукають і знаходять все нові програмні хитрощі, що дозволяють їм впроваджуватися в їх цікавлять об'єкти або життя людей. Так чи інакше, потрібно мати уявлення про наявні у них технологіях, враховуючи існуючі способи злому смартфонів і непросту геополітичну ситуацію.