Nie tylko CBA – ABW, SKW i CBŚ również zainteresowane końmi trojańskimi

dodał 6 lipca 2015 o 21:26 w kategorii Prywatność  z tagami: • • • •
Nie tylko CBA – ABW, SKW i CBŚ również zainteresowane końmi trojańskimi

Dokumentacja wykradziona z serwerów firmy Hacking Team dotycząca Polski nie ogranicza się tylko do CBA. Wygląda na to, że wszystkie ważniejsze służby działające w naszym kraju wyrażały zainteresowanie systemem RCS.

Zgodnie z naszymi wcześniejszymi ustaleniami wszystko wskazuje na to, że jak do tej pory jedynym polskim klientem producenta oprogramowania szpiegowskiego było i jest Centralne Biuro Antykorupcyjne. Nie oznacza to jednak, że inne służby nie były zainteresowane tymi programami – wręcz przeciwnie, nawet w maju tego roku Hacking Team prezentował swoje produkty w Polsce.

Setki wiadomości dotyczących Polski

W ujawnionych w ramach wycieku skrzynkach pocztowych pracowników Hacking Team znaleźć można wiele folderów z nazwami krajów – w tym także te poświęcone Polsce. Kierownik odpowiedzialny za współpracę z instytucjami z naszego kraju trzyma w swojej skrzynce setki emaili dotyczących sprzedaży i świadczenia usług w naszym kraju. Oczywiście lwie miejsce zajmuje korespondencja z CBA – ale do niej wrócimy za chwilę. Najpierw spójrzmy, kto jeszcze był zainteresowany usługami HT.

Najstarsza wiadomość z roku 2010 pochodzi od funkcjonariusza Komendy Głównej Policji, jednak jest to krótka wymiana kluczy PGP, po której nie widać śladów dalszej współpracy. Pod koniec roku 2010, gdy szykowane są prezentacje dla CBA, pojawia się wątek zainteresowania po stronie Policji oraz SKW, jednak nie wiemy, czy wszyscy stawiają się na pokaz możliwości platformy RCS. SKW na pewno jest zainteresowane tematem, ponieważ już w październiku 2011 przesyła pytania o wycenę dość kompleksowej platformy, obejmującej możliwość infekowania większości urządzeń mobilnych oraz stacjonarnych a także demonstrację na żywo. Nie natrafiliśmy na dalsze ślady tej służby w korespondencji.

Ciekawie robi się w marcu 2015, kiedy to do Hacking Team zgłasza się mało znana polska firma (kontakt prawdopodobnie nawiązano na targach branżowych). Przedstawiciele tej firmy sugerują, że mogą zainteresować produktami HT Centralne Biuro Śledcze oraz ABW. Są faktycznie skuteczni, ponieważ już w maju tego roku dochodzi do spotkania w Warszawie. Przedstawiciele HT na dwóch osobnych spotkaniach prezentują funkcjonariuszom CBŚ oraz ABW swoje produkty. Jak wynika z wewnętrznych notatek pracowników HT, prezentacja dla ABW przebiega dość dobrze, pokazują m. in. zdalne wstrzyknięcie eksploita, gorzej wychodzi prezentacja dla CBŚ (na testowanym telefonie CBŚ nie ma konta Google, które trzeba dopiero założyć, poza tym funkcjonariusze CBŚ zadają kolejne pytania zanim tłumacz zdąży odpowiedzieć na poprzednie). ABW jest zainteresowane tym jak uniknąć wykrycia kodu eksploita przez antywirusy – HT ma przygotować odpowiedzi. Ten wątek korespondencji urywa się pod koniec maja.

Raporty wewnętrzne ze spotkań

Raporty wewnętrzne ze spotkań

Problemy CBA

Korespondencja z CBA wskazuje, że używanie RCS nie jest drogą usłaną różami. Słaby czas reakcji działu wsparcia technicznego to problem dość błahy w porównaniu z sytuacją opisaną w innej wiadomości. W roku 2013 w trakcie używania RCS na komputerze jednego z celów dochodzi do ujawnienia adresu IP serwera zarządzającego koniem trojańskim. Jak pisze funkcjonariusz, na szczęście CBA korzystało – wbrew rekomendacjom HT – z dynamicznej adresacji IP, dzięki czemu nie doszło do całkowitej kompromitacji, lecz było blisko.

Pojawiają się także problemy z licencją – w oryginalnym zestawie kupionym przez CBA widniała opcja dostępu do eksploitów, jednak najwyraźniej na skutek nieporozumienia (lub celowego zabiegu handlowego) HT twierdzi, że ta opcja wygasła po pierwszym roku, podczas kiedy CBA uważa, że nadal powinna mieć do niej dostęp.

Zakupiona konfiguracja usługi

Zakupiona konfiguracja usługi

W roku 2014 CBA myśli nad zmianą rodzaju licencji. Posiada na razie możliwość kontrolowania 10 komputerów PC, jednak rozważa zmianę rodzaju licencji na Androida i iOS, nawet za cenę całkowitej rezygnacji z PC. Pyta, czy urządzenia muszą być zrootowane (dla iOS odpowiedź brzmi „tak”, dla Androida „nie, ale funkcje będą ograniczone”). HT przesyła wycenę nowego wariantu licencji jednak najwyraźniej nie zyskuje on aprobaty.

Proponowana konfiguracja usługi

Proponowana konfiguracja usługi

Wygląda zatem na to, że licencje posiadane przez CBA obecnie pozwalają jedynie na infekowanie komputerów PC, bez możliwości zarażania urządzeń mobilnych, a pozostałe służby albo korzystają z innych rozwiązań, albo nie zdecydowały się na stosowanie takich produktów w swojej pracy operacyjnej. Co istotne, choć większość korespondencji bieżącej prowadzona jest przez CBA otwartym tekstem, to najważniejsze fragmenty są szyfrowane PGP (z inicjatywy funkcjonariusza CBA) a hasła do przesyłanych załączników przekazywane są przez SMS. Inna sprawa, że wygląda na to, że hasła do załączników są konstruowane w bardzo podobny sposób i zawierają imię odbiorcy…

Podobne wpisy