De val en opkomst van een spyware-imperium

Stad

De spyware moest onzichtbaar en onvindbaar zijn. In plaats daarvan werd het bedrijf gepakt en blootgesteld.

Tegen de tijd dat het in 2014 tien jaar oud was, had het Italiaanse bedrijf Hacking Team een ​​wereldwijd bedrijf in surveillance. De geavanceerde bewakingstechnologie, genaamd Remote Control System (RCS), werd verkocht aan regeringen, waaronder enkele van 's werelds meest beruchte dictaturen. Het werd gebruikt om heimelijk gegevens te stelen van iedereen die de klant als doelwit had. Toen onderzoekers eindelijk de activiteiten van Hacking Team begonnen te ontdekken, stonden mensenrechtenactivisten en journalisten op de doelwitlijst.

In 2015 troffen hackers Hacking Team. Gegevens van in totaal meer dan 400 gigabyte, inclusief e-mails, facturen en broncode, werden openbaar vrijgegeven. Het eigen Twitter-account van het bedrijf, zelf gehackt, verkondigde de inbreuk.

Voor het publiek, de bedrijf maakte repressieve regimes mogelijk . Voor collega's uit de industrie was het een hackbedrijf dat werd gehackt. Klanten begonnen weg te blijven en zelfs studenten waren op hun hoede om ervoor te werken.

Bijna vijf jaar later hoopt Paolo Lezzi de in ongenade gevallen outfit nieuw leven in te blazen en de ramp weer winstgevend te maken.

het nieuwe regime

Ik ontmoette Lezzi vorige week op een hightech defensie- en militaire beurs in Parijs. Het is iets minder dan een jaar geleden dat hij Hacking Team kocht, de naam veranderde, het combineerde met zijn eigen bedrijf en de taak op zich nam om het eens zo machtige bedrijf uit de dood te halen.

Mijn eerste vraag was een voor de hand liggende vraag voor het hoofd van een spywarebedrijf dat banden heeft met repressieve regimes.

Hoe zorg je ervoor dat er geen misbruik is? Ik vroeg.

Lezzi ademde langzaam in terwijl hij over de vraag nadacht. Hij keek op en wees naar een uitstalling van machinegeweren op slechts een paar meter afstand van waar we spraken.

Waarom stelt iedereen ons deze vraag, maar niemand stelt hen die vraag? zei hij, zijn wenkbrauwen optrekkend.

Lezzi is de eigenaar van Memento Labs en het moederbedrijf, InTheCyber. Memento Labs werd in maart opgericht toen Lezzi verworven Hackteam.

Memento Labs maakt reclame voor zijn producten aan potentiële klanten. Foto: Patrick Howell O'Neill

Die overname bracht de resterende Hacking Team-ingenieurs en het onderzoeks- en ontwikkelingsteam van InTheCyber ​​samen. Het bedrijf nam zijn nieuwe, meer onopvallende naam aan en begon met de wederopbouw. Dit jaar maakte het zijn publieke debuut op de grote conferenties over de bewakingsindustrie, ISS World in Praag en Milipol in Parijs, waar ik hem vond.

We hebben het volledig opnieuw ontworpen, zei Lezzi. We ontwikkelen de best mogelijke instrumenten om de rechtshandhaving te ondersteunen.

Onmogelijk om te ontdekken

Memento Labs (Slogan: Jagen in het donker) verkoopt een verscheidenheid aan indrukwekkende snuffeltools.

Met het KRAIT-product kan iemand elk Android-apparaat aanvallen en geen sporen achterlaten, door het apparaat over te nemen om het te bewaken zonder dat het doelwit actie hoeft te ondernemen.

Het bedrijf levert wat het een vertrouwd implantaat noemt om KRAIT op het apparaat van het doelwit te krijgen, wat betekent dat de malware wordt afgeleverd van wat voor het slachtoffer lijkt op een bekende bron. Het is een service die de social engineering-campagne moeiteloos maakt. KRAIT is een kleine agent en verbergt zich in legitieme applicaties.

KRAIT kan wachtwoorden van het doelwit stelen. Het kan ook een willekeurig aantal dure exploits lanceren, de zeer gewaardeerde en constant veranderende tools die profiteren van digitale beveiligingskwetsbaarheden om software binnen te glippen en de controle over te nemen. De communicatie tussen KRAIT en de commando- en controleservers van de aanvaller wordt gecamoufleerd door te navigeren via vertrouwde online services en apps.

Payloads worden nooit opgeslagen op de doelapparaten, zegt het bedrijf, waardoor het bijna onmogelijk is om het bestaan ​​van de agent en zijn mogelijkheden te ontdekken.

Wanneer KRAIT je telefoon overneemt, is het niet langer jouw telefoon. De locatiegegevens, microfoon, camera, oproepen, adresboek, bestandssysteem, sms-berichten en meer van het apparaat zijn nu eigendom van de hacker die KRAIT heeft gekocht.

Wat vooral verontrustend is, is dat producten zoals KRAIT zijn ontworpen om zelfs 'paranoïde doelen' die mogelijk een hoog niveau van bewustzijn van digitale beveiliging hebben, stilletjes te infecteren en onzichtbaar te bewaken, zegt Bill Marczak, een onderzoeker aan het Citizen Lab van de Universiteit van Toronto, die vroeg onderzoek leidde naar Hackteam.

Deze producten zijn een match made in heaven voor mensenrechtenschenders, die op zoek zijn naar instrumenten om een ​​steeds waakzamer maatschappelijk middenveld aan te vallen.

De hoofdact

Het vlaggenschip van Memento, RCS X, is de nieuwste versie van RCS, de zeer effectieve spyware die in 2012 werd ontdekt te gebruiken tegen journalisten en mensenrechtenactivisten in de hele Arabische wereld en in Washington, DC. Citizen Lab heeft andere overheidsgebruikers van RCS geïdentificeerd, waaronder autoritaire regimes van Egypte en Ethiopië tot Saoedi-Arabië en Soedan. Het is geweest gespot in het wild net als vorig jaar.

Het resultaat van 15 jaar ontwikkeling, RCS X biedt onzichtbare infectie van 99% van de meest gebruikte platforms ter wereld, waaronder macOS, Linux, Android, iOS en BlackBerry. De tool infecteert een willekeurig aantal doelen door het gebruik van misbruikte beveiligingsproblemen. Eén console kan alle infecties beheren en versleutelde en cryptografisch ondertekende gegevens verzamelen van applicaties, agenda's, berichten, wachtwoorden en meer.

Met RCS X kan een hacker de microfoon en camera bedienen, screenshots maken en uiteindelijk volledige controle krijgen over een gerichte machine.

De spyware heeft een lange geschiedenis van succesvolle verkoop en gebruik, hoewel het gebruik dat in veel gevallen werd gepakt, ondanks de beloften van onzichtbaarheid, uiteindelijk bijdroeg aan de ondergang van Hacking Team. Het zal de sleutel zijn tot elk toekomstig succes voor Memento Labs.

Sneller dan de wet

Memento zal alleen verkopen aan officiële wetshandhavingsinstanties, inlichtingendiensten en legers. Het bedrijf vraagt ​​en vereist toestemming van de Italiaanse exportautoriteiten, dezelfde autoriteiten die: ingetrokken De wereldwijde licentie van Hacking Team in 2016 nadat er aanwijzingen waren dat het product werd gebruikt in landen als Soedan, Saoedi-Arabië en Egypte en in verband werd gebracht met mensenrechtenschendingen.

Maar de wetten die de industrie beheersen zijn niet goed genoeg, zegt Marietje Schaake, een voormalig lid van het Europees Parlement die herhaaldelijk alarm sloeg over de bewakingstechnologie die in Europa wordt gebouwd en verkocht. Ze kwam de tools voor het eerst tegen tijdens de Arabische Lente, een pro-democratische beweging in het Midden-Oosten, toen Hacking Team betrokken was bij de verkoop van spyware zoals RCS aan de Egyptische dictatuur.

Het verbaasde me niet dat dictators er alles aan zouden doen om hun greep op de macht te houden, zegt Schaake. Ik was verrast dat deze instrumenten uit democratieën kwamen.

Schaake's tien jaar durende carrière in de wetgevende tak van de EU werd onderbroken door inspanningen om de wettelijke aansprakelijkheid en transparantie in de bewakingsindustrie te vergroten om het soort misbruik te voorkomen dat Hacking Team beroemd maakte.

De technologie ging sneller dan wetten, zegt ze. Alle wetten die de export regelen, kwamen vroeger uit het veiligheidsveld. Er was pas een mensenrechtencomponent na gebeurtenissen als de Arabische Lente en de moord op Jamal Khashoggi. Vooral Italië sleept zijn voeten - ze zijn altijd tegen beperkingen en sancties. Ze zijn liever 'pragmatisch'.

Lezzi zegt dat Memento Labs nu een technische stap zet om misbruik te voorkomen: het bedrijf beperkt het aantal softwareagenten dat aan overheden wordt verkocht. Het is de agent die een machine kan bespioneren en besturen.

Als je duizenden agenten verkoopt, kan het zijn dat het niet voor wetshandhaving is, legt Lezzi uit, erop wijzend dat sommige concurrenten in de sector precies dat soort enorme en willekeurige spionagecapaciteit verkopen. Hij daarentegen beperkt het aantal verkochte middelen, zodat de Memento-technologie beperkt blijft tot 25 of 50 besmettingen. Het is onmogelijk om met slechts 50 agenten tegen de mensenrechten in te gaan, zegt hij.

Er is echter geen manier voor Memento om misbruik door regeringen die hun bewakingstools gebruiken direct te detecteren, en dus ligt het uiteindelijke gebruik van de spyware buiten de controle van Lezzi.

Bill Marczak is sceptisch dat de veiligheidsmaatregelen van Memento Labs zullen werken, wijzend op een geval uit 2014 waarin de Ethiopische regering de spyware van Hacking Team gebruikte om journalisten aan te vallen. De regering van Ethiopië had geen probleem om achter journalisten en oppositiegroepen aan te gaan met de 50 agenten die werden verkocht door Memento's voorganger, Hacking Team, zegt hij.

Het nieuwe advertentiemateriaal voor RCS X belooft inderdaad ook dat RCS-agenten een onbeperkt aantal keren kunnen worden gebruikt, waardoor maximale veelzijdigheid in onderzoeken mogelijk is - en het lijkt erop dat er weinig beperkingen zijn aan de reikwijdte.

herbouwen

Memento staat voor een zware strijd, niet alleen om zijn reputatie te verbeteren, maar ook om weer voet aan de grond te krijgen op de markt. De surveillance-industrie heeft veel zeer capabele concurrenten. Vooral Israëlische bedrijven banen nieuwe wegen in technologisch en politiek opzicht. Het is niet gemakkelijk om te concurreren met een gigant in de bewakingsindustrie zo groot als de Israëlische NSO-groep.

Aan de andere kant is de industrie booming: er zijn nog nooit zoveel bewakings- en spywareproducten te koop geweest als op de Milipol-conferentie van dit jaar. Als er meer industriële concurrenten zijn, is er ook meer geld en een grotere vraag vanuit landen over de hele wereld.

De meeste landen hebben niet het enorme budget en de geavanceerde capaciteiten van Amerikaanse inlichtingendiensten. Memento Labs hoopt een lucratief bedrijf op te bouwen door het verschil te maken voor middelgrote landen die ambities in cyberspace goedkoop willen realiseren. Of het bedrijf de rampen kan vermijden die zijn voorganger gedoemd hebben, is een andere vraag.

zich verstoppen