Các nhà nghiên cứu phân tích ios, công cụ gián điệp Android được sử dụng bởi các chính phủ

Các nhà nghiên cứu bảo mật đã mổ xẻ và phân tích các thành phần di động của phần mềm gián điệp thương mại được sử dụng bởi các chính phủ trên thế giới có thể được sử dụng để lén lút ghi lại và đánh cắp dữ liệu từ các thiết bị di động.

Theo các nhà nghiên cứu của Kaspersky Lab và Citizen Lab, được phát triển bởi công ty Hacking Team của Ý, các mô-đun di động cho Hệ thống điều khiển từ xa cho phép các cơ quan thực thi pháp luật và tình báo thực hiện một loạt các hành động giám sát trên các thiết bị Android, iOS, Windows Mobile và BlackBerry. tại Trường Munk toàn cầu tại Đại học Toronto. Hacking Team bán RCS, còn được gọi là Da Vinci và Galileo, cho các chính phủ để theo dõi các máy tính để bàn, máy tính xách tay và thiết bị di động. Ở một số quốc gia, RCS được sử dụng để do thám các nhà bất đồng chính trị, nhà báo, những người ủng hộ nhân quyền và các nhân vật chính trị đối lập.

Các nhà nghiên cứu của Kaspersky Lab và Citizen Lab đã cùng nhau thiết kế các mô-đun di động, và Morgan Marquis-Boire và Kaspersky Golovanov của Citizen Lab đã trình bày phát hiện của họ tại một sự kiện báo chí ở London hôm thứ ba.

Golovanov viết trên blog Securelist: "Một sự thật nổi tiếng trong một thời gian khá lâu là các sản phẩm HackingTeam bao gồm phần mềm độc hại cho điện thoại di động. Tuy nhiên, những thứ này hiếm khi được nhìn thấy".

RCS có thể làm gì

Các thành phần iOS và Android có thể đăng nhập tổ hợp phím, lấy dữ liệu lịch sử tìm kiếm và cho phép thu thập email, tin nhắn văn bản (ngay cả những ứng dụng được gửi từ các ứng dụng như WhatsApp), lịch sử cuộc gọi và sổ địa chỉ. Họ có thể chụp ảnh màn hình màn hình của nạn nhân, chụp ảnh bằng camera của điện thoại hoặc bật GPS để theo dõi vị trí của nạn nhân. Họ cũng có thể bật micrô để ghi âm các cuộc gọi điện thoại và Skype cũng như các cuộc hội thoại xảy ra ở gần thiết bị.

"Bí mật kích hoạt micrô và chụp ảnh máy ảnh thường xuyên cung cấp khả năng giám sát liên tục đối với mục tiêu mạnh mẽ hơn nhiều so với các hoạt động áo choàng và dao găm truyền thống", Golovanov viết.

Các thành phần di động được thiết kế tùy chỉnh cho từng mục tiêu, các nhà nghiên cứu cho biết. "Một khi mẫu đã sẵn sàng, kẻ tấn công đưa nó đến thiết bị di động của nạn nhân. Một số vectơ lây nhiễm đã biết bao gồm spearphishing thông qua kỹ thuật xã hội - thường được kết hợp với khai thác, bao gồm zero-day và nhiễm trùng cục bộ qua cáp USB trong khi đồng bộ hóa điện thoại di động thiết bị, "Golovanov nói.

Cánh tay giám sát dài

RCS có một phạm vi toàn cầu rộng lớn, với các nhà nghiên cứu tìm thấy xác định 326 máy chủ tại hơn 40 quốc gia. Phần lớn các máy chủ chỉ huy được lưu trữ tại Hoa Kỳ, tiếp theo là Kazakhstan, Ecuador, Vương quốc Anh và Canada. Thực tế là các máy chủ chỉ huy ở các quốc gia đó không nhất thiết có nghĩa là các cơ quan thực thi pháp luật ở các quốc gia đó đang sử dụng RCS, các nhà nghiên cứu cho biết.

"Tuy nhiên, thật hợp lý khi người dùng RCS triển khai C & C tại các địa điểm mà họ kiểm soát, nơi có rủi ro tối thiểu về các vấn đề pháp lý xuyên biên giới hoặc các vụ bắt giữ máy chủ, " Golovanov nói.

Những phát hiện mới nhất được xây dựng trên một báo cáo trước đó từ tháng 3, nơi các nhà nghiên cứu phát hiện ra rằng ít nhất 20% cơ sở hạ tầng RCS được đặt trong một tá trung tâm dữ liệu tại Hoa Kỳ.

Ẩn trong chế độ tàng hình

Các nhà nghiên cứu của Citizen Lab đã tìm thấy trọng tải của Hacking Team trong một ứng dụng Android dường như là bản sao của Qatif Today, một ứng dụng tin tức tiếng Ả Rập. Loại chiến thuật này, nơi tải trọng độc hại được đưa vào các bản sao của các ứng dụng hợp pháp, khá phổ biến trong thế giới Android. Tải trọng cố gắng khai thác lỗ hổng trong các phiên bản cũ hơn của hệ điều hành Android để có quyền truy cập root trên thiết bị.

"Mặc dù việc khai thác này sẽ không hiệu quả so với phiên bản mới nhất của hệ điều hành Android, nhưng phần lớn người dùng vẫn sử dụng các phiên bản cũ có thể dễ bị tổn thương", các nhà nghiên cứu của Citizen Lab viết trong một bài đăng trên blog.

Cả hai mô-đun Android và iOS đều sử dụng các kỹ thuật tiên tiến để tránh làm cạn kiệt pin của điện thoại, hạn chế khi nó thực hiện một số tác vụ nhất định với các điều kiện cụ thể và hoạt động kín đáo để nạn nhân không biết. Ví dụ, micrô có thể được bật và ghi âm chỉ được thực hiện khi nạn nhân được kết nối với một mạng WiFi cụ thể, Golovanov nói.

Các nhà nghiên cứu tìm thấy mô-đun iOS chỉ ảnh hưởng đến các thiết bị đã bẻ khóa. Tuy nhiên, nếu thiết bị iOS được kết nối với máy tính bị nhiễm phần mềm máy tính để bàn hoặc máy tính xách tay, phần mềm độc hại có thể chạy các công cụ bẻ khóa từ xa như Evasi0n để tải mô-đun độc hại. Tất cả điều này sẽ được thực hiện mà không có kiến ​​thức của nạn nhân.

Citizen Lab cũng nhận được một bản sao hướng dẫn sử dụng của Nhóm hack từ một nguồn ẩn danh. Tài liệu giải thích rất chi tiết về cách xây dựng cơ sở hạ tầng giám sát để cung cấp tải trọng độc hại cho nạn nhân, cách quản lý dữ liệu thông tin thu thập được từ các thiết bị nạn nhân và thậm chí làm thế nào để có được chứng chỉ ký mã.

Ví dụ: hướng dẫn sử dụng đề xuất sử dụng Verisign, Thawte và GoDaddy cho các chứng chỉ. Những kẻ tấn công được hướng dẫn mua "Chứng chỉ nhà phát triển" trực tiếp từ TrustCenter nếu mục tiêu sẽ sử dụng thiết bị Symbian và đăng ký tài khoản Microsoft và tài khoản Windows Phone Dev Center để lây nhiễm Windows Phone.

Giả định đằng sau loại phần mềm giám sát này là người mua sẽ sử dụng các công cụ này chủ yếu cho các mục đích thực thi pháp luật và các yếu tố hình sự sẽ không có quyền truy cập vào chúng. Tuy nhiên, thực tế là những thứ này có sẵn có nghĩa là chúng có thể được sử dụng để chống lại các mục tiêu có động cơ chính trị, có một số ý nghĩa nghiêm trọng đối với an ninh và quyền riêng tư nói chung.