Operacja Torpedo, czyli jak FBI infekowało komputery w sieci Tor

dodał 6 sierpnia 2014 o 06:08 w kategorii Prawo, Prywatność  z tagami: • • • • •
Operacja Torpedo, czyli jak FBI infekowało komputery w sieci Tor

Użytkownicy sieci Tor, korzystający z serwisów pedofilskich, byli demaskowani przez FBI poprzez infekcję ich komputerów długo zanim wybuchła afera z Freedom Hosting. Czy jednak metody te służą tylko do identyfikacji sieciowych pedofilów?

Kiedy dokładnie rok temu FBI aresztowało założyciela Freedom Hosting, serwisu w sieci Tor, na którym utrzymywana była większość stron pedofilskich, nikt jeszcze nie zdawał sobie sprawę ze skali akcji organów ścigania. Krótko potem jeden z administratorów pedofilskiego serwisu powiadomił swoich użytkowników, że jego strona serwowała im skrypt JS, którego tam nie zamieszczał. Szybko okazało się, że FBI umieściło na serwerze Freedom Hosting kod exploita, którego zadaniem było zbieranie informacji o użytkownikach. Okazuje się jednak, że nie był to pierwszy taki przypadek.

Operacja Torpedo

W świetnym artykule redaktor Wired Kevin Poulsen ujawnia nieznane wcześniej szczegóły działań organów ścigania przeciwko pedofilom. Opublikowane właśnie dokumenty sądowe opisują historię, która zaczęła się w sierpniu 2011 w Holandii. Tamtejsza policja postanowiła bliżej przyjrzeć się stronom pedofilskim funkcjonującym w sieci Tor. Najpierw przeprowadzili ich inwentaryzację, a następnie, uzbrojeni w nakaz sądowy, spróbowali wykryć ich faktyczną lokalizację. Zadanie trudne, ale jak się okazuje wcale nie niemożliwe. Szczęście dopisało im w przypadku serwisu pedofilskiego, którego administrator zapomniał ustawić swojego hasła. Dzięki takiemu dostępowi agenci przejęli kontrolę nad serwerem i ustalili, że znajduje się on w USA, w firmie Power DNN oferującej usługi hostingowe.

Dalsza analiza konfiguracji serwera ujawniła dwie inne ukryte usługi uruchomione na tej samej maszynie (inny serwis pedofilski oraz serwis umożliwiający hosting plików graficznych). W jednym z plików konfiguracyjnych natrafiono także na informację o innej ukrytej usłudze, którą okazało się być dość wówczas popularne forum Pedoboard. Holendrom udało się przejąć kontrolę nad drugim serwerem i odczytać jego adres IP, który również zlokalizowany był w USA, na prywatnym łączu abonenckim. Sprawę przekazano zatem FBI.

FBI szybko ustaliło, że prywatny adres IP należy do niejakiego Aarona McGratha, który okazał się być również odpowiedzialnym za obsługę serwerów w firmie Power DNN. McGrath był na tyle głupi, ze nie tylko nie ustawił hasła, ale serwery trzymał w pracy i u siebie w domu. FBI, zamiast interweniować, objęło obserwacją podejrzanego i jego działania. Ustalono, iż bardzo często łączy się on z węzłami wejściowymi sieci Tor a także z jednym z serwerów w swojej firmie. Dopiero w październiku 2012 McGrath został aresztowany, a jego serwery trafiły do siedziby FBI. Co ciekawe, w momencie aresztowania podejrzany zamknął swojego laptopa, jednak dokumenty sądowe mówią, że „mimo iż był zabezpieczony hasłem, agenci uzyskali dostęp do urządzenia i znaleźli na nim otwarte okno przeglądarki zalogowanej do forum Pedoboard jako administrator serwisu”.

Na podstawie nakazu sądowego na serwerze Pedoboard zainstalowano, jak ujmuje to dokumentacja, „dodatkowe oprogramowanie rozszerzające jego możliwości” i ponownie podłączono go do sieci.

Koń trojański FBI

W języku agencji koń trojański zwie się NIT – network investigative technique, czyli sieciowa technika śledcza. Jest to całkiem udany eufemizm (jeden z wielu używanych w tego typu sprawach), opisujący de facto złośliwe oprogramowanie wraz z techniką jego dostarczenia na komputer użytkownika końcowego. W zależności od wariantu, NIT może jedynie przesyłać prawdziwy adres IP oraz MAC adres karty sieciowej i nazwę komputera użytkownika do serwera FBI, a może także dawać pełen dostęp do zawartości jego komputera. Program stosowany podobny od roku 2002 wcześniej używany był jako wędka – wysyłany był np. do osób podejrzanych o zgłaszanie fałszywych alarmów bombowych.

To jednak się zmieniło – obecnie program stosowany jest bardziej jako sieć rybacka, do której wpaść może większa liczba użytkowników. Aby tego dokonać, FBI stosuje metodę „drive by download”, czyli modyfikuje stronę internetową, odwiedzaną przez podejrzanych, w taki sposób, by serwowała ona każdemu użytkownikowi odpowiedni exploit. W przypadku Freedom Hosting był to znany od kilku tygodni exploit na Firefoxa w wersji używanej w Tor Bundle, nie znamy niestety metody dostarczenia kodu użytkownikom Pedoboard.

Nakaz przeszukania wydany w tej sprawie

Nakaz przeszukania wydany w tej sprawie

Sukces Torpedy

Akcja okazała się umiarkowanym sukcesem. W ciągu 2 tygodni od umieszczenia kodu exploita w serwisie udało się zidentyfikować 25 jego użytkowników. Nie wiemy, jak ta liczba ma się do całkowitej liczby odwiedzin w tym czasie, ale przy ok. 6000 zarejestrowanych użytkowników i możliwym dostępie również użytkowników niezarejestrowanych nie jest to imponująca wartość. Możemy się domyślać, że atakowana była jedna wersja przeglądarki, a atak mógł być skuteczny tylko w wypadku, gdy ofiara nie korzystała z osobnego środowiska fizycznego lub wirtualnego i nie tunelowała wszystkich swoich połączeń przez Tor. W kwietniu 2014 FBI przeprowadziła skoordynowane przeszukania w wielu miastach USA i 14 oskarżonych stanęło właśnie przed sądem. Co ciekawe, w przypadku akcji przeciwko Freedom Hosting do tej pory tylko jedna osoba została oskarżona o posiadanie treści pedofilskich.

Kontrowersje

Oczywiście w sytuacji, gdy chodzi o treści pedofilskie, nikt nie kwestionuje poczynań organów ścigania. Zachodzi jednak obawa, że metoda identyfikacji użytkowników, stosowana wobec wszystkich odwiedzających daną witrynę, może być coraz częściej używana przez organa ścigania. O ile raczej rzadko ktoś trafia przez przypadek na stronę z pedofilią, o tyle np. strony islamskich ekstremistów odwiedzane są zarówno przez potencjalnych terrorystów jak i osoby, zajmujące się badaniem tego środowiska. Ataki prowadzone przez FBI z użyciem technologii NIT nie będą w stanie odróżnić jednych od drugich, narażając niewinne osoby na co najmniej utratę prywatności lub poważniejsze konsekwencje. Metoda ta powinna zatem być poddana skrupulatnej kontroli – na co na razie się nie zanosi.

Ciągle także nie wiemy, czy w celu zidentyfikowania użytkowników serwisów pedofilskich amerykańskie służby zhakowały OVH…

Podobne wpisy