Fall og fremvekst av et spyware-imperium

By

Spionvaren skulle være usynlig og ikke sporbar. I stedet ble selskapet fanget og avslørt.

Da det var et tiår gammelt i 2014, hadde det italienske selskapet Hacking Team en verdensomspennende virksomhet innen overvåking. Dens avanserte overvåkingsteknologi, kalt Remote Control System (RCS), ble solgt til regjeringer inkludert noen av verdens mest beryktede diktaturer. Den ble brukt til å stjele data fra alle kundene målrettet mot. Da forskere endelig begynte å avdekke Hacking Teams aktiviteter, inkluderte mållisten menneskerettighetsaktivister og journalister.

I 2015 traff hackere Hacking Team. Data på til sammen over 400 gigabyte, inkludert e-post, fakturaer og kildekode, ble offentliggjort. Selskapets egen Twitter-konto, selv hacket, utbasunerte bruddet.

Til publikum, selskapet muliggjorde undertrykkende regimer . For bransjekolleger var det et hackerselskap som ble hacket. Kunder begynte å holde seg unna, og til og med studenter var forsiktige med å jobbe for det.

Nesten fem år senere håper Paolo Lezzi å gjenopplive det vanærede antrekket, og gjøre katastrofen tilbake til en lønnsom virksomhet.

Det nye regimet

Jeg møtte Lezzi forrige uke på en høyteknologisk forsvars- og militærmesse i Paris. Det har gått i underkant av ett år siden han kjøpte Hacking Team, endret navnet, kombinerte det med sitt eget selskap og satte i gang oppgaven med å bringe den en gang så mektige virksomheten tilbake fra de døde.

Mitt første spørsmål var åpenbart for lederen av et spionvareselskap knyttet til undertrykkende regimer.

Hvordan sikrer du at det ikke er overgrep? Jeg spurte.

Lezzi inhalerte sakte mens han vurderte spørsmålet. Han så opp og pekte på en utstilling av maskingevær bare noen få meter unna der vi snakket.

Hvorfor stiller alle oss dette spørsmålet, men ingen stiller dem det spørsmålet? sa han og hevet øyenbrynene.

Lezzi er eieren av Memento Labs og dets morselskap, InTheCyber. Memento Labs ble dannet i mars da Lezzi ervervet Hacking Team.

Memento Labs annonserer produktene sine til potensielle kunder. Foto: Patrick Howell O'Neill

Dette oppkjøpet samlet de gjenværende Hacking Team-ingeniørene og forsknings- og utviklingsteamet fra InTheCyber. Selskapet tok i bruk sitt nye, mer lavprofilerte navn og begynte å gjenoppbygge. I år gjorde den sin offentlige debut på de store overvåkingsindustrikonferansene ISS World i Praha og Milipol i Paris, hvor jeg fant ham.

Vi har fullstendig redesignet, sa Lezzi. Vi utvikler de best mulige verktøyene for å støtte rettshåndhevelse.

Umulig å avdekke

Memento Labs (Slogan: Hunting in the dark) selger en rekke imponerende snokeverktøy.

KRAIT-produktet lar noen angripe hvilken som helst Android-enhet og ikke etterlate spor, og overtar enheten for å overvåke den uten handling som kreves av målet.

Selskapet leverer det de kaller et pålitelig implantat for å få KRAIT inn på målets enhet, noe som betyr at skadevare vil bli levert fra det som for offeret ser ut som en kjent kilde. Det er en tjeneste som gjør sosial ingeniørkampanjen uanstrengt. KRAIT er en liten agent og gjemmer seg inne i legitime applikasjoner.

KRAIT kan stjele passord fra målet. Den kan også lansere et hvilket som helst antall dyre utnyttelser, de høyt verdsatte og stadig skiftende verktøyene som drar nytte av sikkerhetssårbarheter for digital sikkerhet for å slippe inn i programvare og ta kontroll. Kommunikasjonen mellom KRAIT og angriperens kommando- og kontrollservere kamufleres ved å bevege seg gjennom pålitelige nettjenester og apper.

Nyttelast lagres aldri på målenhetene, sier selskapet, noe som gjør det nesten umulig å avdekke eksistensen av agenten og dens evner.

Når KRAIT overtar telefonen din, er det ikke lenger telefonen din. Enhetens plasseringsdata, mikrofon, kamera, anrop, adressebok, filsystem, tekstmeldinger og mer tilhører nå hackeren som kjøpte KRAIT.

Det som er spesielt urovekkende er at produkter som KRAIT er designet for å infisere og usynlig overvåke selv 'paranoide mål' som kan ha et høyt nivå av bevissthet om digital sikkerhet, sier Bill Marczak, en forsker ved University of Torontos Citizen Lab som ledet tidlig forskning på Hacking Team.

Disse produktene er en match made in heaven for menneskerettighetsovergripere, som leter etter verktøy for å angripe et stadig mer årvåkent sivilsamfunn.

Hovedbegivenheten

Mementos flaggskipprodukt, RCS X, er den nyeste versjonen av RCS, den svært effektive spionvaren som i 2012 ble oppdaget å være i bruk mot journalister og menneskerettighetsaktivister over hele den arabiske verden og i Washington, DC. Citizen Lab har identifisert andre offentlige brukere av RCS, inkludert autoritære regimer fra Egypt og Etiopia til Saudi-Arabia og Sudan. Det har vært oppdaget i naturen så sent som i fjor.

Resultatet av 15 års utvikling, RCS X tilbyr usynlig infeksjon av 99 % av de mest brukte plattformene i verden, inkludert macOS, Linux, Android, iOS og BlackBerry. Verktøyet infiserer et hvilket som helst antall mål gjennom bruk av utnyttede sikkerhetssårbarheter. Én konsoll kan administrere alle infeksjonene og samle inn krypterte og kryptografisk signert data fra applikasjoner, kalendere, meldinger, passord og mer.

Med RCS X kan en hacker kontrollere mikrofonen og kameraet, ta skjermbilder og til slutt få full kontroll over en målrettet maskin.

Spionvaren har en lang historie med vellykket salg og bruk – om enn bruk som i mange tilfeller ble fanget, til tross for løftene om usynlighet, og endte opp med å bidra til Hacking Teams bortgang. Det vil være nøkkelen til fremtidig suksess for Memento Labs.

Raskere enn loven

Memento vil kun selge til offisielle politimyndigheter, etterretningsbyråer og militære. Selskapet ber om og krever tillatelse fra italienske eksportmyndigheter – de samme myndighetene som tilbakekalt Hacking Teams globale lisens i 2016 etter bevis dukket opp for at produktet ble brukt i land som Sudan, Saudi-Arabia og Egypt og knyttet til menneskerettighetsbrudd.

Men lovene som styrer industrien er ikke gode nok, sier Marietje Schaake, et tidligere medlem av EU-parlamentet som gjentatte ganger slo alarm om overvåkingsteknologi som bygges og selges i Europa. Hun snublet først over verktøyene under den arabiske våren, en pro-demokratisk bevegelse i Midtøsten, da Hacking Team ble involvert i å selge spionprogrammer som RCS til det egyptiske diktaturet.

Jeg var ikke overrasket over at diktatorer ville gjøre noe for å beholde grepet om makten, sier Schaake. Jeg ble overrasket over at disse verktøyene kom fra demokratier.

Schaakes tiår lange karriere i den lovgivende grenen av EU ble preget av innsats for å øke juridisk ansvarlighet og åpenhet i overvåkingsindustrien for å forhindre den typen overgrep som gjorde Hacking Team kjent.

Teknologien beveget seg raskere enn lover, sier hun. Alle lovene som regulerer eksport kom fra sikkerhetsfeltet. Det var ikke en menneskerettighetskomponent før etter hendelser som den arabiske våren og drapet på Jamal Khashoggi. Spesielt Italia drar føttene – de er alltid imot restriksjoner og sanksjoner. De vil heller være «pragmatiske».

Lezzi sier at Memento Labs nå tar et teknisk skritt for å unngå misbruk: selskapet begrenser antallet programvareagenter som selges til myndigheter. Det er agenten som er i stand til å spionere på og kontrollere en maskin.

Hvis du selger tusenvis av agenter, kan det være at det ikke er for rettshåndhevelse, forklarer Lezzi, og påpeker at noen industrikonkurrenter selger akkurat den typen enorme og vilkårlige spioneringsevne. Han begrenser derimot antall solgte midler slik at Memento-teknologien begrenses til 25 eller 50 infeksjoner. Det er umulig å gå imot menneskerettighetene med bare 50 agenter, sier han.

Det er imidlertid ingen måte for Memento å direkte oppdage misbruk fra myndigheter som bruker deres overvåkingsverktøy, og derfor er den endelige bruken av spionvaren utenfor Lezzis kontroll.

Bill Marczak er skeptisk til at Memento Labs' sikkerhetstiltak vil fungere, og peker på en sak fra 2014 der den etiopiske regjeringen brukte Hacking Teams spionprogrammer for å målrette journalister. Etiopias regjering hadde ingen problemer med å gå etter journalister og opposisjonsgrupper med de 50 agentene solgt av Mementos forgjenger, Hacking Team, sier han.

Faktisk lover det nye reklamematerialet for RCS X også at RCS-agenter kan brukes et ubegrenset antall ganger, noe som gir maksimal allsidighet i undersøkelser – og, ser det ut til, få grenser for omfang.

Ombygging

Memento står overfor en kamp i oppoverbakke, ikke bare når det gjelder å reformere sitt rykte, men også for å få fotfeste på markedet igjen. Overvåkingsbransjen har mange svært dyktige konkurrenter. Spesielt israelske firmaer går nye veier teknologisk og politisk. Det er ikke lett å konkurrere med en overvåkingsindustrigigant på størrelse med Israels NSO Group.

Så igjen blomstrer industrien: det har aldri vært så mange overvåkings- og spionvareprodukter til salgs som det var på årets Milipol-konferanse. Hvis det er flere industrikonkurrenter, er det også mer penger og større etterspørsel fra land rundt om i verden.

De fleste land mangler det enorme budsjettet og banebrytende evnene til amerikanske etterretningsbyråer. Memento Labs håper å bygge en lukrativ virksomhet ved å utgjøre forskjellen for mellomstore nasjoner som ønsker å realisere ambisjoner i cyberspace på en billig måte. Hvorvidt selskapet kan unngå katastrofene som dømte forgjengeren, er et helt annet spørsmål.

gjemme seg