Operacja Triangulacja, czyli jak rosyjskie służby sieją dezinformację w oparciu o cudze badania

„FSB odkryła operację wywiadowczą USA z użyciem wirusa na urządzeniach mobilnych Apple” – zaalarmowała 1 czerwca rosyjska agencja informacyjna TASS. Jedno tytułowe zdanie – możliwe, że aż trzy przekłamania. Prześledźmy, jak było naprawdę.

Zaczęło się od krótkiego, nietechnicznego komunikatu wydanego w czwartkowy poranek przez Federalną Służbę Bezpieczeństwa (FSB, ros. Федеральная служба безопасности). Duchowa spadkobierczyni niesławnego KGB poinformowała, że wspólnie z Federalną Służbą Ochrony (FSO, ros. Федеральная служба охраны) namierzyła kilka tysięcy iPhone’ów używanych przez rosyjskich abonentów, zainfekowanych nieznanym dotąd złośliwym oprogramowaniem. Ofiarami ataku mieli paść również przebywający w Rosji dyplomaci z krajów członkowskich NATO i obszaru postsowieckiego, a także Izraela, Syrii i Chin. Odpowiedzialnością za rzekome szpiegowanie na rosyjskim gruncie już w pierwszym zdaniu zostały obarczone amerykańskie służby specjalne. Z dalszej lektury wynika, że chodzi przede wszystkim o NSA (ang. National Security Agency), która miała nawiązać „ścisłą współpracę” z firmą Apple. Podatności, które pozwoliły szpiegującemu oprogramowaniu przeniknąć na telefony – według FSB – zostały przez producenta pozostawione intencjonalnie.

Informacje te ochoczo podchwyciła TASS, a za nią mainstreamowe media, zarówno rosyjskie, jak i zagraniczne, w tym polskie. Rozgorzały dyskusje na temat potencjalnego zakazu korzystania z iPhone’ów w Rosji i nie ma w tym nic zaskakującego. Już w marcu pracownicy kremlowskiej administracji otrzymali polecenie rezygnacji z urządzeń Apple. Po komunikacie FSB rzecznik prasowy prezydenta, Dmitrij Pieskow, potwierdził, że używanie ich do celów służbowych jest „niedopuszczalne i zabronione”. Z kolei szef Federalnego Projektu ds. Bezpieczeństwa i Zwalczania Korupcji, Witalij Borodin, złożył w Prokuraturze Generalnej wniosek o wszczęcie postępowania karnego przeciwko pracownikom Apple za szpiegowanie Rosjan.

Operacja Triangulacja, czyli co ustalił Kaspersky

Jakieś dwie godziny po pierwszych doniesieniach medialnych firma Kaspersky (od lat mimo zaprzeczeń łączona z rosyjskimi służbami) opublikowała wyniki badań nad nieznanym wcześniej złośliwym oprogramowaniem na iOS, podobnym w działaniu do niesławnego Pegasusa. Scenariusz infekcji wygląda następująco:

• Na docelowe urządzenie z systemem iOS za pośrednictwem usługi iMessage dociera wiadomość z załącznikiem zawierającym exploita.
• Bez jakiejkolwiek interakcji ze strony użytkownika exploit wykorzystuje lukę w zabezpieczeniach, co prowadzi do wykonania kodu. TechCrunch podaje, że chodzi o podatność CVE-2022-46690 załataną w grudniu ub.r.
• W efekcie z serwera C&C zostaje pobranych kilka dodatkowych komponentów, w tym służące do podniesienia poziomu uprawnień.
• Po pomyślnym przetworzeniu wspomnianych komponentów pobierany jest docelowy ładunek – Kaspersky określa go „w pełni funkcjonalną platformą APT”.
• Nadesłana wiadomość i załącznik z exploitem zostają usunięte.

Z raportu wynika, że badacze wykryli podejrzaną aktywność, monitorując własną sieć Wi-Fi za pomocą rozwiązania typu SIEM (ang. Security Information and Event Management). Zainfekowanych zostało kilka urządzeń – wpis na firmowym blogu precyzuje, że należały one do kierownictwa, zarówno średniego, jak i wysokiego szczebla. Analiza trwa od początku tego roku, ale najstarsze znaczniki czasu infekcji wskazują na rok 2019. Złośliwe oprogramowanie prawdopodobnie nie potrafi przetrwać restartu. Jeśli jednak system nie zostanie zaktualizowany do wersji nowszej niż 15.7, to po włączeniu telefonu może dojść do ponownej infekcji – badacze zaobserwowali takie przypadki. Złożoność ataku pozwala przypuszczać, że Kaspersky nie był jego jedynym celem. Kampanii nadano nazwę Operacja Triangulacja (ang. Operation Triangulation, ros. Операция Триангуляция). Dyrektor generalny firmy, Jewgienij Kasperski, zapewnił na Twitterze, że nie jest ona powiązana ze znanym oprogramowaniem szpiegującym, takim jak Pegasus, Predator czy Reign.

Wstępna analiza zaatakowanych iPhone’ów – z uwagi na zamknięty charakter systemu – musiała jednak przebiegać podobnie. Badacze utworzyli na komputerze pełne kopie zapasowe urządzeń i skorzystali z narzędzia Mobile Verification Toolkit (w wersji mvt-ios) opracowanego dwa lata temu przez Amnesty International z myślą właśnie o Pegasusie. Ruch sieciowy przeanalizowali za pomocą Wiresharka i podzielili się w raporcie zaobserwowanymi wskaźnikami infekcji (ang. Indicators of Compromise, IoC). Dzień później, czyli 2 czerwca, udostępnili własne, prostsze w obsłudze narzędzie pod nazwą triangle_check do automatycznego sprawdzania kopii zapasowych.

Rewelacje FSB a raport Kaspersky’ego, czyli co ma piernik do wiatraka

Zestawiając komunikat rosyjskich służb z badaniami Kaspersky’ego, łatwo zauważyć dość istotne różnice, a czytaliśmy zarówno anglo-, jak i rosyjskojęzyczne wersje raportów. FSB pisze o kilku tysiącach zainfekowanych iPhone’ów używanych głównie przez Rosjan, ale nie tylko. Według analityków bezpieczeństwa atak dotknął zaledwie kilku (ang. several, ros. несколькo) pracowników firmy na kierowniczych stanowiskach i choć potencjalnie ofiar może być więcej, to dowodów na to nie ma. Odpowiedzialnością za wykryty incydent FSB obarcza amerykańskie agencje wywiadowcze, przede wszystkim NSA, z którą rzekomo współpracuje Apple. Kaspersky powstrzymuje się od atrybucji, czyli wskazywania grup mogących stać za daną kampanią.

Odpowiedzi na pytania dziennikarzy brzmią nieco inaczej – w serwisach TechCrunch i ArsTechnica czytamy, że firma nie zna szczegółów technicznych operacji wykrytej przez FSB, ale z ostrzeżenia wydanego przez krajowy odpowiednik CERT-u (ros. Национальный координационный центр по компьютерным инцидентам) wynika, że wskaźniki infekcji są takie same. Czy rzeczywiście? Na twitterowym profilu Ivana Kwiatkowskiego, starszego badacza bezpieczeństwa w Kaspersky GReAT, znaleźliśmy link do tego dokumentu. Pierwsze trzy akapity zostały przeklejone jeden do jednego z komunikatu FSB, reszta – odrobinę przeformułowana – pochodzi z analizy Kaspersky’ego, z czym autorzy w ogóle się nie kryją, zamieszczając stosowny odnośnik. Słabo to wygląda, trochę tak, jakby służby wzięły cudze badania i dopasowały do nich własną narrację.

Jaka była właściwa kolejność zdarzeń, trudno powiedzieć. Kaspersky mógł poinformować służby o wykryciu incydentu w swojej sieci, a te postanowiły podkręcić fakty i podburzyć opinię publiczną. Albo na odwrót – FSB zaobserwowało podejrzaną aktywność i zleciło firmie jej zbadanie, a ta udaje teraz niewiniątko. Będziemy trzymać rękę na pulsie i zaktualizujemy artykuł, jeśli dowiemy się czegoś istotnego.