Spionajul cibernetic

Spionajul cibernetic reprezintă actul sau practica de a obține secrete și informații fără permisiunea și cunoașterea deținătorului informațiilor folosind metode de pe internet, rețele sau computere individuale prin utilizarea serverelor proxy, tehnici de cracking și software rău intenționat, inclusiv cai troieni și programe spion. Spionajul cibernetic poate fi utilizat pentru a viza diferiți actori – indivizi, concurenți, rivali, grupuri, guverne și alții – pentru a obține avantaje personale, economice, politice sau militare. Poate fi realizat în întregime online de la birou din țări îndepărtate, sau poate implica infiltrarea acasă de spioni și cârtițe convenționali instruiți pe computer sau, în alte cazuri, poate fi opera criminală a hackerilor și programatorilor amatori de software rău intenționați.

Istorie

Spionajul cibernetic a început încă din 1996, când implementarea pe scară largă a conectivității la Internet la sistemele guvernamentale și corporative a luat avânt. De atunci, au existat numeroase cazuri de astfel de activități.

Detalii

Spionajul cibernetic implică de obicei utilizarea unui astfel de acces la secrete și informații clasificate sau controlul computerelor individuale sau al rețelelor întregi pentru un avantaj strategic și pentru activități de subversie și sabotaj psihologic, politic și fizic. Mai recent, spionajul cibernetic implică analiza activității publice pe site-uri de rețele sociale precum Facebook și Twitter.

Astfel de operațiuni, cum ar fi spionajul non-cibernetic, sunt de obicei ilegale în țara victimă, în timp ce sunt pe deplin sprijinite la cel mai înalt nivel de guvernare de țara agresoare. Situația etică depinde de asemenea de punctul de vedere al cuiva, în special de opinia guvernelor implicate.

Platforme și funcționalități

Instrumentele de colectare cibernetică au fost dezvoltate de guverne și de interese private pentru aproape fiecare computer și sistem de operare pentru smartphone-uri. Se știe că există instrumente pentru computerele Microsoft, Apple și Linux și pentru telefoanele iPhone, Android, Blackberry și Windows. Printre producătorii importanți de tehnologie de colectare cibernetică ”commercial off-the-shelf” (COTS) se numără Gamma Group din Regatul Unit și Hacking Team din Italia. Companiile de instrumente de colectare cibernetică personalizate, multe care oferă pachete COTS de exploit-uri zero-day, includ Endgame, Inc. și Netragard din Statele Unite, și Vupen din Franța. Agențiile de informații de stat au adesea propriile echipe pentru a dezvolta instrumente de colectare cibernetică, cum ar fi Stuxnet, dar necesită o sursă constantă de exploit-uri zero-day pentru a-și introduce instrumentele în sistemele nou vizate. Detaliile tehnice specifice ale acestor metode de atac se vând adesea pentru sume de șase cifre.

Funcționalitățile comune ale sistemelor de colectare cibernetică includ:

• Scanarea datelor: stocarea locală și în rețea sunt scanate pentru a găsi și copia fișiere de interes; acestea sunt adesea documente, foi de calcul, fișiere de design, cum ar fi fișierele Autocad și fișiere de sistem, cum ar fi fișierul passwd.
• Capturarea locațiilor: GPS, WiFi, informații de rețea și alți senzori atașați sunt utilizați pentru a determina locația și mișcarea dispozitivului infiltrat
• Dispozitiv de ascultare ascuns (Bug): microfonul dispozitivului poate fi activat pentru a înregistra sunet. De asemenea, fluxurile audio destinate difuzoarelor locale pot fi interceptate la nivel de dispozitiv și înregistrate.
• Rețele private ascunse care ocolesc securitatea rețelei corporative. Un computer care este spionat poate fi conectat la o rețea corporativă legitimă, care este puternic monitorizată pentru activitatea malware și, în același timp, aparține unei rețele wifi private din afara rețelei companiei prin care se scurg informații confidențiale de pe computerul unui angajat. Un astfel de computer este ușor de configurat de către un agent dublu care lucrează în departamentul IT, instalând o a doua placă wireless într-un computer și un software special pentru a monitoriza de la distanță computerul unui angajat prin această a doua cartelă de interfață, fără ca aceștia să fie conștienți de uncanal de comunicare cu bandă laterală care extrage informații din computerul respectiv.
• Camere video: camerele dispozitivului pot fi activate pentru a captura pe ascuns imagini sau videoclipuri.
• Keylogger și Mouse Logger: agentul malware poate captura fiecare apăsare a tastei, mișcare a mouse-ului și clic pe care îl face utilizatorul țintă. Combinat cu capturi de ecran, aceasta poate fi folosită pentru a obține parole care sunt introduse folosind o tastatură virtuală pe ecran.
• Screen Grabber: agentul malware poate realiza periodic imagini de captură de ecran. În plus față de afișarea informațiilor sensibile care ar putea să nu fie stocate pe aparat, cum ar fi soldurile e-banking și e-mail-ul web criptat, acestea pot fi utilizate în combinație cu datele de înregistrare a cheii și mouse-ului pentru a determina acreditările de acces pentru alte resurse de Internet.
• Criptare: datele colectate sunt de obicei criptate în momentul capturii și pot fi transmise live sau stocate pentru exfiltrare ulterioară. De asemenea, este o practică obișnuită ca fiecare operațiune specifică să folosească capacități specifice de criptare și polimorfe ale agentului de colectare cibernetică pentru a se asigura că detectarea într-o locație nu le va compromite pe altele.
• Ocolirea criptării: deoarece agentul malware operează pe sistemul țintă cu accesul și toate drepturile contului de utilizator al țintei sau al administratorului de sistem, criptarea este ocolită. De exemplu, interceptarea sunetului folosind microfonul și dispozitivele de ieșire audio permite malware-ului să capteze de ambele părți ale unui apel Skype criptat.
• Furtul de date, sau exfiltrarea (exfiltration): agenții de colectare cibernetică exfiltrează, de obicei, datele capturate într-o manieră discretă, așteaptă adesea un trafic web mare și deghizează transmisia ca navigare web securizată. Unitățile flash USB au fost folosite pentru a exfiltra informații din sistemele protejate prin izolare (air gap). Sistemele de exfiltrare implică adesea utilizarea de sisteme proxy invers care anonimizează receptorul datelor.
• Replicare: agenții se pot replica pe alte medii sau sisteme, de exemplu, un agent poate infecta fișiere dintr-o partajare de rețea care poate fi scrisă sau se poate instala pe unități USB pentru a infecta computere protejate de un spațiu de aer sau altfel care nu se află în aceeași rețea.
• Manipularea și operarea fișierelor: programele malware pot fi utilizate pentru a șterge urmele din fișierele jurnal. De asemenea, poate descărca și instala module sau actualizări, precum și fișiere de date. Această funcție poate fi folosită și pentru a plasa „dovezi” pe sistemul țintă, de ex. pentru a introduce pornografia infantilă în computerul unui politician sau pentru a manipula voturile pe o mașină electronică de numărare a voturilor.
• Reguli de combinare: unii agenți opereaă foarte complex și sunt capabili să combine caracteristicile de mai sus pentru a oferi capabilități de colectare a informațiilor foarte direcționate. De exemplu, utilizarea casetelor de delimitare GPS și a activității microfonului poate fi folosită pentru a transforma un telefon inteligent într-un bug inteligent care interceptează conversațiile numai în biroul unei ținte.
• Telefoane mobile compromise. Deoarece telefoanele mobile moderne sunt din ce în ce mai asemănătoare cu computerele de uz general, aceste telefoane mobile sunt vulnerabile la aceleași atacuri cibernetice ca și sistemele informatice și sunt vulnerabile la scurgerea de informații extrem de sensibile despre conversație și locație către atacatori. Scurgerea locației GPS a telefonului mobil și a informațiilor conversaționale către un atacator a fost raportată într-o serie de cazuri recente de urmărire cibernetică în care atacatorul a putut să folosească locația GPS a victimei pentru a suna întreprinderile din apropiere și autoritățile de poliție pentru a face acuzații false împotriva victimei, în funcție de locația sa, aceasta putând varia de la a spune personalului restaurantului informații pentru a tachina victima sau a prezenta un martor fals împotriva victimei. De exemplu, dacă victima a parcat într-o parcare mare, atacatorii pot suna și declara că au văzut activitate de droguri sau violență în desfășurare, cu o descriere a victimei și indicații despre locația GPS a acesteia.

Infiltrare

Există mai multe modalități comune de a infecta sau de a accesa ținta:

• Un proxy de injecție este un sistem care este plasat în amonte de persoana sau compania țintă, de obicei la furnizorul de servicii de internet, care injectează malware în sistemul țintă. De exemplu, o descărcare nevinovată făcută de utilizator poate fi injectată cu malware executabil din mers, astfel încât sistemul țintă să fie apoi accesibil agenților guvernamentali.
  Phishing de rezervă: Un e-mail atent conceput este trimis către țintă pentru a-i atrage să instaleze malware printr-un document troian sau printr-un atac găzduit pe un server web compromis sau controlat de proprietarul malware.
  Intrarea secretă poate fi folosită pentru a infecta un sistem. Cu alte cuvinte, spionii pătrund cu grijă în reședința sau biroul țintei și instalează malware-ul pe sistemul țintei.
  Un monitor în amonte sau sniffer este un dispozitiv care poate intercepta și vizualiza datele transmise de un sistem țintă. De obicei, acest dispozitiv este plasat la furnizorul de servicii de internet. Sistemul Carnivore dezvoltat de FBI SUA este un exemplu celebru al acestui tip de sistem. Bazat pe aceeași logică de la interceptarea telefonică, acest tip de sistem are o utilizare limitată astăzi, din cauza utilizării pe scară largă a criptării în timpul transmiterii datelor.
• Un sistem de infiltrare fără fir poate fi utilizat în apropierea țintei atunci când ținta utilizează tehnologia fără fir. Acesta este, de obicei, un sistem bazat pe laptop care uzurpă identitatea unei stații de bază WiFi sau 3G pentru a captura sistemele țintă și a transmite cererile în amonte către Internet. Odată ce sistemele țintă sunt în rețea, sistemul funcționează apoi ca un proxy de injecție sau ca un monitor în amonte pentru a se infiltra sau monitoriza sistemul țintă.
• O cheie USB preîncărcată cu virusul malware poate fi oferită sau transmisă la site-ul țintă.

Agenții de colectare cibernetică sunt de obicei instalați de software-ul de livrare a încărcăturii, construit folosind atacuri zero-day și livrați prin unități USB infectate, atașamente de e-mail sau site-uri web rău intenționate. Eforturile de colectare cibernetică sponsorizate de stat au folosit certificate oficiale ale sistemului de operare în loc de a se baza pe vulnerabilitățile de securitate. În operațiunea Flame, Microsoft afirmă că certificatul Microsoft folosit pentru a uzurpa identitatea unui Windows Update a fost falsificat; cu toate acestea, unii experți cred că este posibil să fi fost achiziționat prin eforturile HUMINT.

(Include texte traduse și adaptate din Wikipedia de Nicolae Sfetcu)