SIS mala zrejme záujem o špehovací softvér hackujúci počítače
Pokiaľ je daná komunikácia autentická, pričom hacknutie Hacking Team aj viacero uniknutých dát sú autentické, SIS bola v priamej emailovej komunikácii s predstaviteľmi Hacking Team zrejme od augusta 2013 a pozvala túto spoločnosť, aby detailne demonštrovala svoj softvér. Zároveň avizovala zámer pozvať aj jej konkurenta Gamma Group.
“Pretože máme vážny záujem o takéto riešenie rozhodli sme sa pozvať Gamma Group a Hacking Team do Bratislavy predviesť celodennú hĺbkovú demonštráciu v našich priestoroch,” uvádzal pracovník SIS v jednom emaile adresovanom predstaviteľom Hacking Team.
Hacking Team podľa komunikácie boli naozaj v Bratislave v septembri 2013, či k prezentácii ale prišlo nie je z emailov jasné. Spoločnosť neskôr na začiatku roka 2014 ponúkala prezentáciu novej “verzie 9” svojho riešenia s kódovým označením Galileo.
K tej ani k nákupu riešenia ale nakoniec minimálne podľa týchto emailov neprišlo, keď na konci apríla 2014 informovala SIS taliansku spoločnosť o zastavení “tohto projektu”. K ďalšej priamej komunikácii ohľadom nákupu softvéru podľa uniknutých emailov zrejme neprišlo.
Aktualizácia: V dátach, ktoré majú pochádzať zo systémov Hacking Team, bolo identifikovaných respektíve na ich základe bolo zostavených viacero rozličných zoznamov zákazníkov riešenia tejto spoločnosti, pochádzajúcich z rozličných časov. SIS ani žiadna iná štátna inštitúcia alebo orgán zo Slovenska sa v nich zrejme nenachádzajú, čo rovnako potvrdzuje, že k nákupu riešenia tajnou službou neprišlo.
V susednej Českej republike využívala softvér od Hacking Team polícia, ktorá jeho používanie po úniku dát potvrdila.
Čo Hacking Team ponúka
Podľa dostupných informácií Hacking Team ponúka najmä orgánom činným v trestnom konaní softvér, ktorý s využitím najčastejšie bezpečnostných zraniteľností dokáže infikovať počítače alebo iné zariadenia užívateľa.
Softvér sa dá následne používať na získanie dát alebo sledovanie a špehovanie osôb.
Ako sa samozrejme predpokladalo, takýto softvér využíva aj verejne neznáme zraniteľnosti, tzv. 0-day zraniteľnosti. To únik dát z Hacking Team potvrdil, keď riešenie spoločnosti využívalo okrem iného doteraz neznámu zraniteľnosť v Adobe Flash.
{googleads right}
Orgány činné v trestnom konaní a najmä polícia by podľa slovenskej legislatívy takýto softvér samozrejme mohli v konkrétnom prípade použiť len na základe súdneho príkazu.
FinFisher od Gamma Group
V minulom roku WikiLeaks zverejnila aj uniknutú databázu konkurenčnej nemeckej spoločnosti Gamma Group, ktorá je tvorcom riešenia s označením FinFisher.
V nej sa nachádza aj zákazník, ktorý je priradený k Slovensku. V databáze sa nenachádzajú ale konkrétne údaje, ktoré by mohli odhaliť identitu tohto zákazníka a ani potvrdiť pôvod zo Slovenska.
Je tu možné nájsť len anglickú komunikáciu s podporou, ktorú realizovala podľa podpisov v tiketoch za tohto zákazníka osoba s českým menom.
Tento zákazník má vytvorený účet už od roku 2010. Aktuálne uniknuté emaily medzi SIS a Hacking Team tak skôr naznačujú, že SIS týmto zákazníkom nebola. Pokiaľ sú informácie v emailovej správe z augusta 2013 pre Hacking Team pravdivé, v tomto čase si len podobné riešenie vyberala a spoločnosť Gamma Group tiež len chcela pozvať na prezentáciu jej riešenia.
Informácie o rozličných netradičných technikách bezpečnostných útokov nemusia byť len informáciami teoretickej akademickej povahy. Najnovšie to dokumentujú ďalšie informácie zistené z dát, ktoré unikli po hacknutí talianskej spoločnosti Hacking Team.
Bezpečnostná spoločnosť Trend Micro totiž v týchto dátach objavila v arzenáli Hacking Team aj UEFI BIOS rootkit.
Pomocou tohto rootkitu sa môže jej softvér pre infikovanie a sledovanie počítačov Remote Control System, RCS, predávaný najmä orgánom činným v trestnom konaní a tajným službám udržať v počítačoch aj po reinštalovaní operačného systému alebo výmene disku. “Toto znamená, že ak aj užívateľ naformátuje disk, preinštaluje OS a dokonca kúpi nový disk, agenty sa naimplantujú po nabehnutí a spustení Microsoft Windows,” uvádza Trend Micro.
Identifikovaný kód je účinný proti Insyde BIOS, populárnemu UEFI firmvéru v notebookoch. Podľa bezpečnostnej spoločnosti pravdepodobne funguje aj na AMI BIOS.
Podľa prezentácie Hacking Teamu je potrebný pre jeho nainštalovanie ale fyzický prístup k zariadeniu. Trend Micro podľa svojho popisu nemôže vylúčiť možnosť vzdialenej inštalácie, čo tým myslí ale nevysvetľuje.
Pri fyzickej infekcii sa musí útočník dostať do UEFI shellu, nainštalovať BIOS rootkit, znovu naflashovať BIOS a rebootovať počítač.
{googleads right}
Rootkit sa skladá celkom z troch modulov, pričom je podľa popisu zameraný na Windows. Prvý modul Ntfs.mod je určený pre prístup k súborovému systému NTFS používanému Windows, druhý Rkloader.mod je aktivovaný po nabootovaní systému a tretí dropper.mod obsahuje samotné agenty, scout.exe a soldier.exe.
Rootkit vždy po nabootovaní systému skontroluje, či sú agenty nainštalované. Ak scout.exe nie je, vloží ho do inštalácie Windows na disk medzi automaticky po štarte spúšťaný kód.
Trend Micro užívateľom pre obranu proti takémuto typu rootkitu odporúča nastaviť BIOS alebo UEFI heslo, zapnúť prípadne UEFI SecureFlash overujúcu autentickosť nahrávaného kódu a vždy aktualizovať BIOS po vydaní bezpečnostnej aktualizácie. V prípade nákupu serverov odporúča kupovať servery s fyzickým prepínačom blokujúcim nahratie nového BIOSu.
Zdroj:dsl.sk
