Muito tempo sem update.. Aqui vai uma novidade sobre este assunto:
http://news.softpedia.com/news/german-police-create-a-new-version-of-bundestrojaner-federal-trojan-500832.shtml
"The German government has approved that a new version of the infamous Bundestrojaner (Federal Trojan) malware be used against real-life targets, after authorities have been working on an updated version for the past months."
[ Update 21/11/2014 ]
Hoje a Anestia Internacional a Eletronic Free Frontier juntamente com outras entidades ligadas à segurança e privacidade na Internet lançaram uma ferramenta de "deteção de spywares conhecidos de vigilância governamental" chamado Detekt - você pode baixar a ferramenta e o código fonte no links abaixo:
Sobre a Ferramenta: https://www.resistsurveillance.org/
Download do Executável e Código Fonte: https://github.com/botherder/detekt/releases/tag/v1.4
[ Update 19/05/2014 ]
No dia 12/05/2014, uma solicitação do FBI (código RFQ1307B) mostra o interesse da Agência americana em obter samples de malware de todo o mundo:
Detalhes relevantes:
"2.3.1 Malware Feed
The FBI seeks to obtain the malware via a feed. The feed shall:
• Currently exist (or system currently exists that can produce the feed)
• Contain a rollup of sharable new malware (both unique and variants)
• Include a malicious URL report (Reference Section 2.3.2)
• Be organized by SHA1 signatures
• Be updated once every 24 hours
• Be a snapshot of the prior 24 hours
• Be, on average, 30GB - 40GB per day
• Be able to retrieve feed in an automated way through machine-to-machine communication
• Initiations of accessing feed shall be pulled by FBI not pushed to FBI
2.3.2 Malicious URL Report
The FBI seeks a malicious URL report as a component of the malware feed. The URL report shall contain a list of URLs that do not directly link to executable files, but instead lead to exploits that cause malware to be downloaded (e.g., links to drive-by downloads).
2.3.3 Malware Files
Each of the new malware files in the feed shall contain metadata, to include:
• SHA1 signature
• MD5 signature
• Time
The file types required include:
• Executable file types from Unix/Linux, Windows and Macintosh
• Archives files
• Image files
• Microsoft Office documents
• Audio and Video files
• RTF files
• PDF files
• PHP files
• JavaScript files
• HTML files"
[ Update: 08/12/2013 ]
O Washington Post publicou hoje um artigo entitulado "FBI’s search for ‘Mo,’ suspect in bomb threats, highlights use of malware for surveillance"em que divulga um search warrant ("pedido de busca e apreensão") que detalha como a agência solicita e recebe autorização judicial para o uso de código malicioso em investigações de crimes (neste caso ameaças envolvendo bombas).
O termo "CIPAV" - presente nos demais updates deste post - não é utilizado, e é introduzido um acrônimo: NIT - "Network Investigative Technique", que tem funcionalidade muito parecida com o descrito neste post.
[ Update: 09/02/2013 ]
"Going Bright: Wiretapping without Weakening Communications Infrastructure"
http://www.crypto.com/papers/GoingBright.pdf
"Mobile IP-based communications and changes in technologies have been a subject of concern for law enforcement, which seeks to extend current wiretap design requirements for digital voice networks.
Such an extension would create considerable security risks as well as seriously harm innovation. Exploitation of naturally occurring bugs in the platforms being used by targets may be a better alternative."
Steven M. Bellovin | Columbia University
Matt Blaze and Sandy Clark | University of Pennsylvania
Susan Landau | Privacy Ink
[ Update: 10/09/2012 ]
O Governo alemão está abertamente contratando programadores especializados em trojans, para não depender de empresas externas para desenvolver suas ferramentas de monitoração utilizadas em investigações feitas pelo governo (BundesTrojaner).
Alguns pré-requisitos para os candidados ao cargo:
"Going Bright: Wiretapping without Weakening Communications Infrastructure"
http://www.crypto.com/papers/GoingBright.pdf
"Mobile IP-based communications and changes in technologies have been a subject of concern for law enforcement, which seeks to extend current wiretap design requirements for digital voice networks.
Such an extension would create considerable security risks as well as seriously harm innovation. Exploitation of naturally occurring bugs in the platforms being used by targets may be a better alternative."
Steven M. Bellovin | Columbia University
Matt Blaze and Sandy Clark | University of Pennsylvania
Susan Landau | Privacy Ink
[ Update: 10/09/2012 ]
O Governo alemão está abertamente contratando programadores especializados em trojans, para não depender de empresas externas para desenvolver suas ferramentas de monitoração utilizadas em investigações feitas pelo governo (BundesTrojaner).
Alguns pré-requisitos para os candidados ao cargo:
- Excelente conhecimento de C++
- Muito bom conhecimento de padrões de software de modelagem de tecnologias de rede,
- topologias e protocolos (especialmente sobre os protocolos da Internet utilizados)
- Capacidade de auxílio no desenvolvimento e manutenção de software para a criação de técnicos e táticos requisitos para o acesso remoto da polícia secreta
- Identificação de vulnerabilidades em aplicações e sistemas operacionais,
- Observação das evoluções técnicas e legais no campo da tecnologias de informação e comunicação
- Muito bom conhecimento de programação de baixo nível e mecanismos de segurança do Windows
- Idealmente ter conhecimento dos mecanismos de segurança de outros sistemas operacionais, bem como na programação de baixo nível em outros sistemas operacionais, bem como no desenvolvimento de drivers
PS: Neste meio tempo foi publicado neste blog um artigo chamado "CiberGuerra e CiberEspionagem: O uso de ferramentas de invasão por Nações e Governos" - relevante ao assunto tratado neste artigo.
[ Update: 02/02/2012 ]
Uma autorização judicial de instalação do CIPAV foi provavelmente utilizada no caso da investigação que culminou com a prisão dos responsáveis pelo MegaUpload.
"While it's still not clear how federal investigators gained access to the conversations of founder Kim DotCom and other top managers, there are hints that the FBI managed to place government-issued spyware on the defendants' computers"
Mais informações na CNET:
http://news.cnet.com/8301-31001_3-57368523-261/feds-we-obtained-megaupload-conversations-with-search-warrant/
Informações do caso no site do FBI:
http://www.fbi.gov/news/pressrel/press-releases/justice-department-charges-leaders-of-megaupload-with-widespread-online-copyright-infringement
[ Update: 26/10/2011 ]
A Kaspersky achou outra variante do BundesTrojaner, que também já foi analisada pelo CCC . Um resumo pode ser visto no site H-Online (inglês). Ou a análise original/integral traduzida do alemão para o português (Google Translate).
[ Update: 17/10/2011 ]
Uma interessante análise do footprint de memória do "BundesTrojaner" utilizando a ferramenta de forense de memória volatility foi publicada recentemente - confira!
[ Update: 08/10/2011 ]
Devido às dificuldades de interceptação telemática de certos atores no cenário cibernético - devido ao crescente uso de criptografia, proxies, vpn, etc - o uso de softwares para monitoração de suspeitos (autorizadas pela justiça ou não) é uma realidade crescente em todo o mundo. Alguns dos países em que isto já acontece são: EUA (veja o post original sobre o CIPAV abaixo), França, Egito, e agora a Alemanha (leia logo abaixo)
O grupo Chaos Computer Club (CCC) publicou hoje uma análise do "Bundestrojaner Light" (R2D2) - que numa tradução livre seria "Light Federal Trojan" - utilizado pelo governo alemão.
Abaixo são listados os nomes dos arquivos analisados (uma biblioteca e um driver de kernel windows), seus hashes md5 e taxas de detecção por antivírus (virustotal):
mfc42ul.dll (md5: 930712416770a8d5e6951f3e38548691 vt: 6/43)
winsys32.sys (md5: d6791f5aa6239d143a22b2a15f627e72 vt: 5/43)
Para mais informações, veja a página da CCC:
- Chaos Computer Club analyzes government malware
- Tradução automática do paper em PDF do alemão para o inglês, aqui
- FAQ feito pela NakedSecurity: German 'Government' R2D2 Trojan FAQ
- Artigo da ESET: German Policeware: Use the Farce…er, Force…Luke
- Paper "Please Police Me": Carnivore, Magic Lantern, etc..
- Apresentação da Digitask sobre "Remote Forensic Software"
Mais informações sobre o assunto:
- Artigo da F-Secure: http://www.f-secure.com/weblog/archives/00002249.html
- Análise do VirScan: http://r.virscan.org/a2ed65a6a41e3a5e773b1bbcff14aef2
[ Update: 30/04/2011 ]
Depois de mais de dois anos sem novidades sobre o assunto, a EFF (Eletronic Frontier Foundation) publicou ontem um "dossiê" sobre o CIPAV chamado "New FBI Documents Provide Details on Government’s Surveillance Spyware".
O FBI tem utilizado a tecnologia para investigações criminais dentro dos Estados Unidos e também para investigações de suspeitos estrangeiros de acordo com os termos da FISA (Foreign Intelligence Surveillance Act).
Aos interessados em mais detalhes sobre o assunto, a EFF separou uma página de download para os 15 PDFs contendo informações sobre o CIPAV: https://www.eff.org/foia/foia-endpoint-surveillance-tools-cipav
[ Post Original: 17/04/2009 ]
Depois da divulgação de que a China que se utiliza de técnicas hacker para espionar seus adversários, a Wired acaba de publicar um artigo interessante sobre documentos que foram recentemente "desclassificados" pelo governo americano.
Agora é público o conhecimento de que o FBI utiliza em suas investigações online - há pelo menos 7 anos - um spyware desenvolvido internamente por eles chamado CIPAV - Computer and Internet Protocol Address Verifier, que faz um pouco mais do que o nome indica - ele busca as seguintes informações da máquina alvo:
• Endereço IP
• Endereços MAC (placas de rede)
• A lista de portas TCP e UDP e conexões estabelecidas (netstat)
• Lista de programas em execução
• Sistema Operacional, Versão e Número de Série e empresa que consta no Registro.
• Versão do Navegador Padrão
• Usuários (incluindo o logado) do sistema operacional
• URL visitadas
Segundo análise do CIPAV feita em 2007 por Kevin Poulsen, todas as informações coletadas são enviadas pela Internet para computadores do FBI na Virginia, possivelmente para o laboratório do FBI em na cidade de Quantico.
O modus operandi mais comum de instalação do CIPAV é fazer o alvo acessar uma página especialmente criada para explorar vulnerabilidades comuns em de navegadores.
As informações confirmadas nesta semana fazem parte do material liberado ao público devido ao "Freedom of Information Act" e indicam uma boa maturidade do governo americano ao tratar de assuntos sensíveis como a autorização legal para utilização deste tipo de tecnologia e o equilíbrio entre o sigilo destas ações e a garantia da privacidade dos usuários.
O pdf original do documento "desclasificado" descrevendo alguns casos em que o CIPAV foi utilizado foi disponibilizado.
A necessidade do uso - e controle da autorização judicial (pdf - exemplo) - deste tipo de tecnologia é claro - muitas vezes as ações de hackers e criminosos envolvem técnicas como "proxy chaining" e redes de anonimato como a Tor - que são muito difíceis de monitorar através da Internet, e exigiriam autorizações judiciais de quebra de sigilo para múltiplos provedores em diferentes países - o que na maioria das vezes é impraticável.
Entre as ações tipicamente hackers utilizadas pelo FBI, está também a exploração (cracking) de redes Wireless para obtenção de evidências.
A utilização de ferramentas como o CIPAV e outras técnicas de "contra-ataque" sempre foi (e continuará sendo) fundamental para solução de casos de investigação como ameaças a bomba, terrorismo, sabotagem, extorsão e ataques de hackers.http://translate.google.com/translate?hl=en&sl=de&u=http://www.ccc.de/system/uploads/76/original/staatstrojaner-report23.pdf
Depois da divulgação de que a China que se utiliza de técnicas hacker para espionar seus adversários, a Wired acaba de publicar um artigo interessante sobre documentos que foram recentemente "desclassificados" pelo governo americano.
Agora é público o conhecimento de que o FBI utiliza em suas investigações online - há pelo menos 7 anos - um spyware desenvolvido internamente por eles chamado CIPAV - Computer and Internet Protocol Address Verifier, que faz um pouco mais do que o nome indica - ele busca as seguintes informações da máquina alvo:
• Endereço IP
• Endereços MAC (placas de rede)
• A lista de portas TCP e UDP e conexões estabelecidas (netstat)
• Lista de programas em execução
• Sistema Operacional, Versão e Número de Série e empresa que consta no Registro.
• Versão do Navegador Padrão
• Usuários (incluindo o logado) do sistema operacional
• URL visitadas
Segundo análise do CIPAV feita em 2007 por Kevin Poulsen, todas as informações coletadas são enviadas pela Internet para computadores do FBI na Virginia, possivelmente para o laboratório do FBI em na cidade de Quantico.
O modus operandi mais comum de instalação do CIPAV é fazer o alvo acessar uma página especialmente criada para explorar vulnerabilidades comuns em de navegadores.
As informações confirmadas nesta semana fazem parte do material liberado ao público devido ao "Freedom of Information Act" e indicam uma boa maturidade do governo americano ao tratar de assuntos sensíveis como a autorização legal para utilização deste tipo de tecnologia e o equilíbrio entre o sigilo destas ações e a garantia da privacidade dos usuários.
O pdf original do documento "desclasificado" descrevendo alguns casos em que o CIPAV foi utilizado foi disponibilizado.
A necessidade do uso - e controle da autorização judicial (pdf - exemplo) - deste tipo de tecnologia é claro - muitas vezes as ações de hackers e criminosos envolvem técnicas como "proxy chaining" e redes de anonimato como a Tor - que são muito difíceis de monitorar através da Internet, e exigiriam autorizações judiciais de quebra de sigilo para múltiplos provedores em diferentes países - o que na maioria das vezes é impraticável.
Entre as ações tipicamente hackers utilizadas pelo FBI, está também a exploração (cracking) de redes Wireless para obtenção de evidências.
A utilização de ferramentas como o CIPAV e outras técnicas de "contra-ataque" sempre foi (e continuará sendo) fundamental para solução de casos de investigação como ameaças a bomba, terrorismo, sabotagem, extorsão e ataques de hackers.http://translate.google.com/translate?hl=en&sl=de&u=http://www.ccc.de/system/uploads/76/original/staatstrojaner-report23.pdf
