Chiave digitale 9EF0 C41A FBA5 64AA 650A 0259 9C6D CD17 283E 454C

Se hai bisogno di aiuto nell'utilizzo di Tor puoi contattare WikiLeaks per ricevere assistenza nella configurazione utilizzando la nostra semplice webchat disponibile all'indirizzo: https://wikileaks.org/talk

Se puoi usare Tor, ma hai bisogno di contattare WikiLeaks per altri motivi, usa la nostra webchat protetta disponibile su http://wlchatc3pjwpli5r.onion

Ti consigliamo di contattarci tramite Tor, se puoi.

Tor è una rete crittografata di anonimizzazione che rende più difficile intercettare le comunicazioni Internet o vedere da dove provengono o sono dirette le comunicazioni.

Per utilizzare il sistema di invio pubblico di WikiLeaks come descritto sopra è possibile scaricare il Tor Browser Bundle, che è un browser simile a Firefox disponibile per Windows, Mac OS X e GNU/Linux e preconfigurato per connettersi utilizzando il sistema di anonimizzazione Tor.

Se sei ad alto rischio e ne hai la capacità, puoi accedere al sistema di invio anche attraverso un sistema operativo sicuro chiamato Tails. Tails è un sistema operativo lanciato da una chiavetta USB o da un DVD che mira a non lasciare tracce quando il computer viene spento dopo l'uso e instrada automaticamente il traffico Internet attraverso Tor. Tails richiederà che tu abbia una chiavetta USB o un DVD di almeno 4 GB e un laptop o un computer desktop.

Il nostro sistema di invio lavora duramente per preservare il tuo anonimato, ma ti consigliamo anche di prendere alcune precauzioni. Si prega di rivedere queste linee guida di base.

1. Contattaci se hai problemi specifici

Se hai un invio molto grande, o un invio con un formato complesso, o se sei una fonte ad alto rischio, contattaci. Nella nostra esperienza è sempre possibile trovare una soluzione personalizzata anche per le situazioni apparentemente più difficili.

2. Quale computer utilizzare

Se il computer da cui stai caricando potrebbe essere successivamente controllato in un'indagine, considera l'utilizzo di un computer che non sia facilmente collegabile a te. Gli utenti tecnici possono anche utilizzare Tails per assicurarsi di non lasciare alcun record della tua presentazione sul computer.

3. Non parlare della tua sottomissione agli altri

Se hai qualche problema parla con WikiLeaks. Siamo gli esperti globali nella protezione della fonte: è un campo complesso. Anche coloro che hanno buone intenzioni spesso non hanno l’esperienza o la competenza per consigliare adeguatamente. Ciò include altre organizzazioni mediatiche.

1. Non parlare della tua sottomissione agli altri

Se hai qualche problema parla con WikiLeaks. Siamo gli esperti globali nella protezione della fonte: è un campo complesso. Anche coloro che hanno buone intenzioni spesso non hanno l’esperienza o la competenza per consigliare adeguatamente. Ciò include altre organizzazioni mediatiche.

Se sei una fonte ad alto rischio, evita di dire o fare qualsiasi cosa dopo l'invio che possa suscitare sospetti. In particolare, dovresti cercare di attenersi alla tua normale routine e al tuo comportamento.

3. Rimuovi le tracce del tuo invio

Se sei una fonte ad alto rischio e il computer su cui hai preparato la tua richiesta o da cui l'hai caricata potrebbe essere successivamente controllato in un'indagine, ti consigliamo di formattare e smaltire il disco rigido del computer e qualsiasi altro supporto di archiviazione utilizzato.

In particolare, i dischi rigidi conservano i dati dopo la formattazione che possono essere visibili a un team di esperti forensi digitali, mentre i supporti flash (chiavette USB, schede di memoria e unità SSD) conservano i dati anche dopo una cancellazione sicura. Se hai utilizzato supporti flash per archiviare dati sensibili, è importante distruggere i supporti.

Se lo fai e sei una fonte ad alto rischio, dovresti assicurarti che non ci siano tracce della pulizia, poiché tali tracce stesse potrebbero destare sospetti.

4. Se devi affrontare un'azione legale

Se viene intentata un'azione legale contro di te a seguito della tua presentazione, ci sono organizzazioni che potrebbero aiutarti. La Courage Foundation è un'organizzazione internazionale dedicata alla tutela delle fonti giornalistiche. Puoi trovare maggiori dettagli su https://www.couragefound.org.

Invia documenti a WikiLeaks

WikiLeaks pubblica documenti di importanza politica o storica che vengono censurati o altrimenti soppressi. Siamo specializzati nell'editoria globale strategica e negli archivi di grandi dimensioni.

Quello che segue è l'indirizzo del nostro sito sicuro dove puoi caricare in modo anonimo i tuoi documenti sugli editori di WikiLeaks. Puoi accedere a questo sistema di invio solo tramite Tor. (Vedi la nostra scheda Tor per ulteriori informazioni.) Ti consigliamo inoltre di leggere i nostri suggerimenti per le fonti prima di inviare.

Se non puoi utilizzare Tor, o il tuo contributo è molto grande, o hai requisiti specifici, WikiLeaks fornisce diversi metodi alternativi. Contattaci per discutere come procedere.

Questa serie di pubblicazioni riguarda progetti specifici relativi alla pubblicazione principale del Vault 7.

Oggi, 7 settembre 2017, WikiLeaks pubblica quattro documenti segreti del progetto Protego della CIA, insieme a 37 documenti correlati (manuali hardware/software proprietari di Microchip Technology Inc.). Il progetto è stato mantenuto tra il 2014 e il 2015.

Protego non è il "solito" progetto di sviluppo di malware come tutte le precedenti pubblicazioni di WikiLeaks nella serie Vault7. In effetti non vi è alcuna indicazione esplicita del perché faccia parte degli archivi dei progetti della CIA/EDG.

Il progetto Protego è un sistema di controllo missilistico basato su PIC sviluppato da Raytheon. Dai documenti risulta che il sistema è installato a bordo di un aereo Pratt Whitney (PWA) dotato di sistemi di lancio missilistici (aria-aria e/o aria-terra).

Protego è costituito da unità microcontrollore separate che scambiano dati e segnali su canali crittografati e autenticati:

raquo; I TWA di bordo sono il "Master Processor" (MP) e la "Deployment Box". Entrambi i sistemi sono configurati con ridondanza master/slave.

raquo; Il sistema missilistico è dotato di microcontrollori per il missile stesso ("Missle Smart Switch", MSS), il tubo ("Tube Smart Switch", TSS) e il collare (che trattiene il missile prima e al momento del lancio).

L'unità MP riceve tre segnali da un radiofaro: "In confine" (la PWA è all'interno dell'area definita di un'operazione), "GPS valido" (segnale GPS disponibile) e "Nessuna fine del periodo operativo" (l'ora corrente rientra nell'intervallo di tempo definito per un'operazione). I missili possono essere lanciati solo se tutti i segnali ricevuti da MP sono impostati su "vero". Sono in atto misure di salvaguardia simili per autodistruggere le chiavi di crittografia e autenticazione per vari scenari (come "lasciare un'area operativa target" o "missile mancante").

Oggi, 31 agosto 2017, WikiLeaks pubblica i documenti del progetto Angelfire della CIA. Angelfire è un impianto composto da cinque componenti: Solartime, Wolfcreek, Keystone (in precedenza MagicWand), BadMFS e il file system transitorio di Windows. Come i progetti CIA precedentemente pubblicati (Grasshopper e AfterMidnight) della serie Vault7, si tratta di un framework persistente in grado di caricare ed eseguire impianti personalizzati su computer di destinazione che eseguono il sistema operativo Microsoft Windows (XP o Win7).

Solartime modifica il settore di avvio della partizione in modo che quando Windows carica i driver del dispositivo all'avvio, carica ed esegue anche l'impianto Wolfcreek, che una volta eseguito, può caricare ed eseguire altri impianti Angelfire. Secondo i documenti, il caricamento di ulteriori impianti crea perdite di memoria che possono essere rilevate sulle macchine infette.

Keystone fa parte dell'impianto Wolfcreek ed è responsabile dell'avvio di applicazioni utente dannose. Gli impianti caricati non toccano mai il file system, quindi ci sono pochissime prove forensi che il processo sia mai stato eseguito. Si maschera sempre come "C:\Windows\system32\svchost.exe" e può quindi essere riconosciuto nel task manager di Windows se il sistema operativo è installato su un'altra partizione o in un altro percorso.

BadMFS è una libreria che implementa un file system nascosto creato alla fine della partizione attiva (o in un file su disco nelle versioni successive). Viene utilizzato per memorizzare tutti i driver e gli impianti che Wolfcreek avvierà. Tutti i file sono crittografati e offuscati per evitare la scansione di stringhe o intestazioni PE. Alcune versioni di BadMFS possono essere rilevate perché il riferimento al file system nascosto è archiviato in un file denominato "zf".

Il file system transitorio di Windows è il nuovo metodo di installazione di AngelFire. Piuttosto che posizionare componenti indipendenti su disco, il sistema consente a un operatore di creare file transitori per azioni specifiche tra cui l'installazione, l'aggiunta di file ad AngelFire, la rimozione di file da AngelFire, ecc. I file transitori vengono aggiunti a "UserInstallApp".

Oggi, 24 agosto 2017, WikiLeaks pubblica documenti segreti del progetto ExpressLane della CIA. Questi documenti mostrano una delle operazioni informatiche che la CIA conduce contro i servizi di collegamento, che includono tra molti altri la National Security Agency (NSA), il Department of Homeland Security (DHS) e il Federal Bureau of Investigation (FBI).

L'OTS (Office of Technical Services), una filiale della CIA, dispone di un sistema di raccolta biometrica che viene fornito ai servizi di collegamento in tutto il mondo, con l'aspettativa di condividere i dati biometrici raccolti sui sistemi. Ma questa “condivisione volontaria” ovviamente non funziona o è considerata insufficiente dalla CIA, perché ExpressLane è uno strumento di raccolta segreta di informazioni utilizzato dalla CIA per esfiltrare segretamente raccolte di dati da tali sistemi forniti ai servizi di collegamento.

ExpressLane viene installato ed eseguito con la copertura dell'aggiornamento del software biometrico da parte degli agenti OTS che visitano i siti di collegamento. Gli ufficiali di collegamento che supervisionano questa procedura rimarranno ignari, poiché l'esfiltrazione dei dati si nasconde dietro una schermata iniziale di installazione di Windows.

I componenti principali del sistema OTS si basano sui prodotti di Cross Match, un'azienda statunitense specializzata in software biometrico per le forze dell'ordine e l'intelligence community. L'azienda ha fatto notizia nel 2011 quando è stato riferito che l'esercito americano aveva utilizzato un prodotto Cross Match per identificare Osama bin Laden durante l'operazione di assassinio in Pakistan.

Oggi, 10 agosto 2017, WikiLeaks pubblica la Guida per l'utente del progetto CoachPotato della CIA. CouchPotato è uno strumento remoto per la raccolta di flussi video RTSP/H.264. Fornisce la possibilità di raccogliere il flusso come file video (AVI) o di acquisire immagini fisse (JPG) di fotogrammi dal flusso che presentano cambiamenti significativi rispetto a un fotogramma catturato in precedenza. Utilizza ffmpeg per la codifica e decodifica di video e immagini, nonché la connettività RTSP. CouchPotato conta sull'essere lanciato in un caricatore compatibile ICE v3 Fire and Collect.

Oggi, 3 agosto 2017 WikiLeaks pubblica i documenti del progetto Dumbo della CIA. Dumbo è una capacità di sospendere i processi che utilizzano webcam e corrompere qualsiasi registrazione video che potrebbe compromettere una distribuzione PAG. Il PAG (Physical Access Group) è un ramo speciale all'interno del CCI (Center for Cyber ​​Intelligence); il suo compito è ottenere e sfruttare l'accesso fisico ai computer presi di mira nelle operazioni sul campo della CIA.

Dumbo può identificare, controllare e manipolare i sistemi di monitoraggio e rilevamento su un computer di destinazione che esegue il sistema operativo Microsoft Windows. Identifica i dispositivi installati come webcam e microfoni, localmente o collegati tramite reti wireless (Bluetooth, WiFi) o cablate. Anche tutti i processi relativi ai dispositivi rilevati (solitamente registrazione, monitoraggio o rilevamento di flussi video/audio/di rete) vengono identificati e possono essere interrotti dall'operatore. Eliminando o manipolando le registrazioni l'operatore viene aiutato a creare prove false o a distruggere prove reali dell'operazione di intrusione.

Dumbo è gestito dall'agente sul campo direttamente da una chiavetta USB; richiede privilegi di amministratore per svolgere il suo compito. Supporta Windows XP a 32 bit, Windows Vista e le versioni più recenti del sistema operativo Windows. Windows XP a 64 bit o versioni di Windows precedenti a XP non sono supportati.

Oggi, 27 luglio 2017, WikiLeaks pubblica i documenti del progetto imperiale della CIA.

Achilles è una funzionalità che fornisce a un operatore la possibilità di eseguire il trojan di un programma di installazione dell'immagine disco di OS X (.dmg) con uno o più eseguibili desiderati specificati dall'operatore per un'esecuzione una tantum.

Aeris è un impianto automatizzato scritto in C che supporta numerosi sistemi basati su POSIX (Debian, RHEL, Solaris, FreeBSD, CentOS). Supporta l'esfiltrazione automatizzata dei file, intervallo beacon e jitter configurabili, supporto HTTPS LP autonomo e basato su Collide e supporto del protocollo SMTP, il tutto con comunicazioni crittografate TLS con autenticazione reciproca. È compatibile con la specifica crittografica NOD e fornisce comando e controllo strutturati simili a quelli utilizzati da diversi impianti Windows.

SeaPea è un rootkit OS X che fornisce funzionalità invisibili e di avvio di strumenti. Nasconde file/directory, connessioni socket e/o processi. Funziona su Mac OSX 10.6 e 10.7.

Oggi, 19 luglio 2017, WikiLeaks pubblica documenti dell'appaltatore della CIA Raytheon Blackbird Technologies per il progetto "UMBRAGE Component Library" (UCL). I documenti sono stati presentati alla CIA tra il 21 novembre 2014 (appena due settimane dopo che Raytheon ha acquisito Blackbird Technologies per costruire una centrale informatica) e l'11 settembre 2015. Contengono principalmente idee Proof-of-Concept e valutazioni per i vettori di attacco malware, in parte basate su documenti pubblici di ricercatori di sicurezza e imprese private nel campo della sicurezza informatica.

Raytheon Blackbird Technologies ha agito come una sorta di "esploratore tecnologico" per il Remote Development Branch (RDB) della CIA, analizzando gli attacchi malware in circolazione e fornendo consigli ai team di sviluppo della CIA per ulteriori indagini e sviluppo PoC per i propri progetti malware.

Oggi, 13 luglio 2017, WikiLeaks pubblica i documenti del progetto Highrise della CIA. HighRise è un'applicazione Android progettata per dispositivi mobili con Android da 4.0 a 4.3. Fornisce una funzione di reindirizzamento per la messaggistica SMS che potrebbe essere utilizzata da una serie di strumenti IOC che utilizzano messaggi SMS per la comunicazione tra impianti e postazioni di ascolto. HighRise funge da proxy SMS che fornisce una maggiore separazione tra i dispositivi sul campo ("target") e la postazione di ascolto (LP) inoltrando i messaggi SMS "in entrata" e "in uscita" a un LP Internet. Highrise fornisce un canale di comunicazione tra l'operatore sul campo HighRise e l'LP con una comunicazione Internet protetta TLS/SSL.

Oggi, 6 luglio 2017, WikiLeaks pubblica documenti dei progetti BothanSpy e Gyrfalcon della CIA. Gli impianti descritti in entrambi i progetti sono progettati per intercettare ed esfiltrare le credenziali SSH ma funzionano su diversi sistemi operativi con diversi vettori di attacco.

BothanSpy è un impianto che prende di mira il programma client SSH Xshell sulla piattaforma Microsoft Windows e ruba le credenziali dell'utente per tutte le sessioni SSH attive. Queste credenziali sono nome utente e password in caso di sessioni SSH autenticate da password o nome utente, nome file della chiave SSH privata e password della chiave se viene utilizzata l'autenticazione con chiave pubblica. BothanSpy può trasferire le credenziali rubate su un server controllato dalla CIA (in modo che l'impianto non tocchi mai il disco del sistema di destinazione) o salvarle in un file crittografato per una successiva esfiltrazione con altri mezzi. BothanSpy è installato come estensione Shellterm 3.x sul computer di destinazione.

Gyrfalcon è un impianto destinato al client OpenSSH su piattaforme Linux (centos,debian,rhel,suse,ubuntu). L'impianto non solo può rubare le credenziali utente delle sessioni SSH attive, ma è anche in grado di raccogliere il traffico della sessione OpenSSH totale o parziale. Tutte le informazioni raccolte vengono archiviate in un file crittografato per una successiva esfiltrazione. Viene installato e configurato utilizzando un root kit sviluppato dalla CIA (JQC/KitV) sul computer di destinazione.

Oggi, 30 giugno 2017, WikiLeaks pubblica documenti del progetto OutlawCountry della CIA che prende di mira i computer che eseguono il sistema operativo Linux. OutlawCountry consente il reindirizzamento di tutto il traffico di rete in uscita sul computer di destinazione verso macchine controllate dalla CIA a scopo di infiltrazione. Il malware è costituito da un modulo del kernel che crea una tabella netfilter nascosta su un target Linux; conoscendo il nome della tabella, un operatore può creare regole che hanno la precedenza sulle regole netfilter/iptables esistenti e sono nascoste all'utente o anche all'amministratore di sistema.

Il metodo di installazione e persistenza del malware non è descritto in dettaglio nel documento; un operatore dovrà fare affidamento sugli exploit e sulle backdoor della CIA disponibili per iniettare il modulo del kernel in un sistema operativo di destinazione. OutlawCountry v1.0 contiene un modulo kernel per CentOS/RHEL 6.x a 64 bit; questo modulo funzionerà solo con i kernel predefiniti. Inoltre, OutlawCountry v1.0 supporta solo l'aggiunta di regole DNAT segrete alla catena PREROUTING.

Oggi, 28 giugno 2017, WikiLeaks pubblica i documenti del progetto ELSA della CIA. ELSA è un malware di geolocalizzazione per dispositivi abilitati WiFi come i laptop che eseguono il sistema operativo Windows Micorosoft. Una volta installato in modo persistente su una macchina bersaglio utilizzando exploit CIA separati, il malware scansiona i punti di accesso WiFi visibili e registra l'identificatore ESS, l'indirizzo MAC e la potenza del segnale a intervalli regolari. Per eseguire la raccolta dei dati la macchina target non deve essere online o connessa a un punto di accesso; deve solo essere in esecuzione con un dispositivo WiFi abilitato. Se è connesso a Internet, il malware tenta automaticamente di utilizzare i database pubblici di geolocalizzazione di Google o Microsoft per determinare la posizione del dispositivo e memorizza i dati di longitudine e latitudine insieme al timestamp. Le informazioni raccolte sul punto di accesso/geolocalizzazione vengono archiviate in forma crittografata sul dispositivo per una successiva esfiltrazione. Il malware in sé non trasmette questi dati al back-end della CIA; l'operatore deve invece recuperare attivamente il file di registro dal dispositivo, sempre utilizzando exploit e backdoor CIA separati.

Il progetto ELSA consente la personalizzazione dell'impianto per adattarlo all'ambiente di destinazione e agli obiettivi operativi come l'intervallo di campionamento, la dimensione massima del file di registro e il metodo di invocazione/persistenza. Un software back-end aggiuntivo (sempre utilizzando database pubblici di geolocalizzazione di Google e Microsoft) converte le informazioni sul punto di accesso non elaborate dai file di registro esfiltrati in dati di geolocalizzazione per creare un profilo di tracciamento del dispositivo di destinazione.

Oggi, 22 giugno 2017, WikiLeaks pubblica i documenti del progetto Brutal Kangaroo della CIA. Brutal Kangaroo è una suite di strumenti per Microsoft Windows che prende di mira le reti chiuse tramite air gap jumping utilizzando pendrive. I componenti Brutal Kangaroo creano una rete segreta personalizzata all'interno della rete chiusa di destinazione e forniscono funzionalità per l'esecuzione di sondaggi, elenchi di directory ed eseguibili arbitrari.

I documenti descrivono come un'operazione della CIA può infiltrarsi in una rete chiusa (o in un singolo computer isolato) all'interno di un'organizzazione o impresa senza accesso diretto. Innanzitutto infetta un computer connesso a Internet all'interno dell'organizzazione (denominato "host primario") e vi installa il malware BrutalKangeroo. Quando un utente utilizza l'host primario e vi inserisce una chiavetta USB, la chiavetta stessa viene infettata da un malware separato. Se questa chiavetta viene utilizzata per copiare dati tra la rete chiusa e la LAN/WAN, l'utente prima o poi collegherà il disco USB a un computer sulla rete chiusa. Esplorando l'unità USB con Windows Explorer su un computer così protetto, viene infettato anche da malware di esfiltrazione/indagine. Se più computer sulla rete chiusa sono sotto il controllo della CIA, formano una rete segreta per coordinare le attività e lo scambio di dati. Anche se non esplicitamente dichiarato nei documenti, questo metodo per compromettere le reti chiuse è molto simile al funzionamento di Stuxnet.

Il progetto Brutal Kangaroo è costituito dai seguenti componenti: Drifting Deadline è lo strumento di infezione delle chiavette USB, Shattered Assurance è uno strumento server che gestisce l'infezione automatizzata delle chiavette USB (come modalità di propagazione primaria per la suite Brutal Kangaroo), Broken Promise è il postprocessore di Brutal Kangaroo (per valutare le informazioni raccolte) e Shadow è il meccanismo di persistenza primario (uno strumento di fase 2 distribuito su una rete chiusa e agisce come una rete segreta di comando e controllo; una volta multipli Shadow vengono installate istanze e le unità condivise, le attività e i payload possono essere inviati avanti e indietro).

Il vettore di esecuzione principale utilizzato dalle chiavette infette è una vulnerabilità del sistema operativo Microsoft Windows che può essere sfruttata da file di collegamento creati manualmente che caricano ed eseguono programmi (DLL) senza l'interazione dell'utente. Le versioni precedenti della suite di strumenti utilizzavano un meccanismo chiamato EZCheese che era un exploit 0-day fino a marzo 2015; le versioni più recenti sembrano utilizzare una vulnerabilità del file di collegamento simile, ma ancora sconosciuta (Lachesis / RiverJack) correlata alla funzionalità libreria-ms del sistema operativo.

Oggi, 15 giugno 2017, WikiLeaks pubblica i documenti del progetto CherryBlossom della CIA che è stato sviluppato e implementato con l'aiuto dell'organizzazione no-profit statunitense Stanford Research Institute (SRI International).

CherryBlossom fornisce un mezzo per monitorare l'attività Internet ed eseguire exploit software su obiettivi di interesse. In particolare, CherryBlossom si concentra sulla compromissione dei dispositivi di rete wireless, come router wireless e punti di accesso (AP), per raggiungere questi obiettivi. Tali dispositivi Wi-Fi sono comunemente utilizzati come parte dell'infrastruttura Internet nelle case private, negli spazi pubblici (bar, hotel o aeroporti), nelle piccole e medie imprese nonché negli uffici aziendali. Pertanto questi dispositivi sono il luogo ideale per gli attacchi "Man-In-The-Middle", poiché possono facilmente monitorare, controllare e manipolare il traffico Internet degli utenti connessi. Modificando il flusso di dati tra l'utente e i servizi Internet, il dispositivo infetto può iniettarvi contenuti dannosi per sfruttare le vulnerabilità delle applicazioni o del sistema operativo del computer dell'utente preso di mira.

Il dispositivo wireless stesso viene compromesso impiantando su di esso un firmware CherryBlossom personalizzato; alcuni dispositivi consentono l'aggiornamento del firmware tramite un collegamento wireless, quindi non è necessario l'accesso fisico al dispositivo per un'infezione riuscita. Una volta aggiornato il nuovo firmware sul dispositivo, il router o il punto di accesso diventerà un cosiddetto FlyTrap. Un FlyTrap si collegherà tramite Internet a un server di controllo dei comandi denominato CherryTree. Le informazioni inviate tramite beacon contengono lo stato del dispositivo e le informazioni di sicurezza che CherryTree registra in un database. In risposta a queste informazioni, CherryTree invia una missione con compiti definiti dall'operatore. Un operatore può utilizzare CherryWeb, un'interfaccia utente basata su browser per visualizzare lo stato di Flytrap e le informazioni sulla sicurezza, pianificare le attività della missione, visualizzare i dati relativi alla missione ed eseguire attività di amministrazione del sistema.

Le missioni possono includere compiti sui bersagli da monitorare, azioni/exploit da eseguire su un bersaglio e istruzioni su quando e come inviare il segnalatore successivo. I compiti di un Flytrap includono (tra gli altri) la scansione di indirizzi email, nomi utente di chat, indirizzi MAC e numeri VoIP nel traffico di rete in transito per attivare azioni aggiuntive, la copia dell'intero traffico di rete di un Target, il reindirizzamento del browser di un Target (ad esempio, a Windex per lo sfruttamento del browser) o l'inoltro delle connessioni di rete di un Target. FlyTrap può anche configurare tunnel VPN su un server VPN di proprietà di CherryBlossom per fornire a un operatore l'accesso ai client sulla WLAN/LAN di Flytrap per un ulteriore sfruttamento. Quando il Flytrap rileva un bersaglio, invierà un avviso al CherryTree e inizierà qualsiasi azione/exploit contro il bersaglio. CherryTree registra gli avvisi in un database e potenzialmente distribuisce le informazioni sugli avvisi alle parti interessate (tramite Catapult).

Oggi, 1 giugno 2017, WikiLeaks pubblica i documenti del progetto "Pandemic" della CIA, un impianto persistente per macchine Microsoft Windows che condividono file (programmi) con utenti remoti in una rete locale. "Pandemic" prende di mira gli utenti remoti sostituendo al volo il codice dell'applicazione con una versione con trojan se il programma viene recuperato dalla macchina infetta. Per offuscare la sua attività, il file originale sul file server rimane invariato; viene modificato/sostituito solo durante il transito dal file server pandemico prima di essere eseguito sul computer dell'utente remoto. L'impianto consente la sostituzione fino a 20 programmi con una dimensione massima di 800 MB per una lista selezionata di utenti remoti (target).

Come suggerisce il nome, un singolo computer su una rete locale con unità condivise infetto dall'impianto "Pandemia" agirà come un "Paziente Zero" nella diffusione di una malattia. Infetterà i computer remoti se l'utente esegue programmi memorizzati sul file server pandemico. Sebbene non sia esplicitamente dichiarato nei documenti, sembra tecnicamente fattibile che i computer remoti che forniscono essi stessi condivisioni di file diventino nuovi file server pandemici sulla rete locale per raggiungere nuovi obiettivi.

Oggi, 19 maggio 2017, WikiLeaks pubblica i documenti del progetto "Athena" della CIA. "Athena" - come il relativo sistema "Hera" - fornisce funzionalità di beacon e caricatore remoto sui computer target che eseguono il sistema operativo Microsoft Windows (da Windows XP a Windows 10). Una volta installato, il malware fornisce funzionalità di beaconing (inclusa la configurazione e la gestione delle attività), il caricamento/scaricamento in memoria di payload dannosi per attività specifiche e la consegna e il recupero di file da/a una directory specificata sul sistema di destinazione. Consente all'operatore di configurare le impostazioni durante il runtime (mentre l'impianto è sul target) per personalizzarlo in base a un'operazione.

Secondo la documentazione (vedi Athena Technology Overview ), il malware è stato sviluppato dalla CIA in collaborazione con Siege Technologies , un'autoproclamata società di sicurezza informatica con sede nel New Hampshire, negli Stati Uniti. Sul proprio sito web, Siege Technologies afferma che la società "... si concentra sullo sfruttamento di tecnologie e metodologie offensive di guerra informatica per sviluppare soluzioni predittive di sicurezza informatica per assicurazioni, governi e altri mercati mirati. ". Il 15 novembre 2016 Nehemiah Security ha annunciato l'acquisizione di Siege Technologies.

In un'e-mail da HackingTeam (pubblicata da WikiLeaks qui), Jason Syversen, fondatore di Siege Technologies con un background in crittografia e hacking, "... ha detto che si proponeva di creare l'equivalente della cosiddetta probabilità di uccisione militare, un'analisi statistica della probabilità di successo di un attacco. "Mi sento più a mio agio a lavorare sulla guerra elettronica", ha detto. "È un po' diverso dalle bombe e dalle armi nucleari: è un campo moralmente complesso da affrontare" siate presenti. Ora invece di bombardare le cose e avere danni collaterali, potete davvero ridurre le vittime civili, il che è una vittoria per tutti.' "

Oggi, 12 maggio 2017, WikiLeaks pubblica "AfterMidnight" e "Assassin", due malware framework della CIA per la piattaforma Microsoft Windows.

"AfterMidnight" consente agli operatori di caricare ed eseguire dinamicamente payload di malware su una macchina bersaglio. Il controller principale si maschera da DLL di servizio Windows autopersistente e fornisce l'esecuzione sicura di "Gremlins" tramite un sistema Listening Post (LP) basato su HTTPS chiamato "Octopus". Una volta installato su una macchina di destinazione, AM richiamerà un LP configurato secondo una pianificazione configurabile, controllando se esiste un nuovo piano da eseguire. Se c'è, scarica e memorizza tutti i componenti necessari prima di caricare tutti i nuovi gremlin in memoria. I "Gremlins" sono piccoli payload AM destinati a funzionare nascosti sul bersaglio e sovvertire la funzionalità del software preso di mira, sorvegliare il bersaglio (inclusa l'esfiltrazione di dati) o fornire servizi interni per altri gremlins. Lo speciale payload "AlphaGremlin" ha anche un linguaggio di script personalizzato che consente agli operatori di pianificare attività personalizzate da eseguire sulla macchina di destinazione.

"Assassin" è un tipo di malware simile; si tratta di un impianto automatizzato che fornisce una semplice piattaforma di raccolta su computer remoti che eseguono il sistema operativo Microsoft Windows. Una volta installato lo strumento sulla destinazione, l'impianto viene eseguito all'interno di un processo di servizio Windows. "Assassin" (proprio come "AfterMidnight") si collegherà periodicamente ai suoi posti di ascolto configurati per richiedere incarichi e fornire risultati. La comunicazione avviene tramite uno o più protocolli di trasporto configurati prima o durante la distribuzione. I sottosistemi "Assassin" C2 (Comando e Controllo) e LP (Postazione d'ascolto) sono indicati collettivamente come "The Gibson" e consentono agli operatori di eseguire compiti specifici su un bersaglio infetto.

Oggi, 5 maggio 2017, WikiLeaks pubblica "Archimedes", uno strumento utilizzato dalla CIA per attaccare un computer all'interno di una rete locale (LAN), solitamente utilizzata negli uffici. Consente il reindirizzamento del traffico dal computer di destinazione all'interno della LAN attraverso un computer infetto da questo malware e controllato dalla CIA. Questa tecnica viene utilizzata dalla CIA per reindirizzare il browser Web del computer bersaglio a un server di sfruttamento mentre appare come una normale sessione di navigazione.

Il documento illustra un tipo di attacco all'interno di un "ambiente protetto" in quanto lo strumento viene implementato in una rete locale esistente abusando delle macchine esistenti per tenere sotto controllo i computer presi di mira e consentendo ulteriore sfruttamento e abuso.

Oggi, 28 aprile 2017, WikiLeaks pubblica la documentazione e il codice sorgente del progetto "Scribbles" della CIA, un sistema di preelaborazione di filigrana di documenti per incorporare tag in stile "Web beacon" in documenti che potrebbero essere copiati da addetti ai lavori, informatori, giornalisti o altri. La versione rilasciata (v1.0 RC1) è datata 1 marzo 2016 ed è classificata SECRET//ORCON/NOFORN fino al 2066.

Scribbles è destinato alla preelaborazione offline dei documenti di Microsoft Office. Per motivi di sicurezza operativa, la guida per l'utente richiede che "[l]'eseguibile, i file di parametri, le ricevute e i file di registro di Scribbles non debbano essere installati su un computer di destinazione, né lasciati in una posizione in cui potrebbero essere raccolti da un avversario".

Secondo la documentazione, "lo strumento di filigrana dei documenti Scribbles è stato testato con successo su [...] Microsoft Office 2013 (su Windows 8.1 x64), documenti delle versioni di Office 97-2016 (i documenti di Office 95 non funzioneranno!) [e] documenti che non sono moduli bloccati, crittografati o protetti da password". Ma questa limitazione ai documenti di Microsoft Office sembra creare problemi: "Se l'utente finale preso di mira li apre in un'applicazione diversa, come OpenOffice o LibreOffice, le immagini della filigrana e gli URL potrebbero essere visibili all'utente finale. Per questo motivo, assicurati sempre che i nomi host e i componenti URL siano logicamente coerenti con il contenuto originale. Se temi che l'utente finale preso di mira possa aprire questi documenti in un'applicazione non Microsoft Office, prendi alcuni documenti di prova e valutali nella probabile applicazione prima di distribuirli."

Ricercatori di sicurezza ed esperti forensi troveranno informazioni più dettagliate su come vengono applicate le filigrane ai documenti nel codice sorgente, che è incluso in questa pubblicazione come archivio zippato.

Oggi, 21 aprile 2017, WikiLeaks pubblica la Guida per l'utente per lo strumento "Weeping Angel" della CIA, un impianto progettato per gli Smart Television Samsung F Series. Basato sullo strumento "Estensione" dell'MI5/BTSS, l'impianto è progettato per registrare l'audio dal microfono integrato ed emettere o archiviare i dati.

I segni di classificazione del documento della Guida per l'utente suggeriscono che è stato originariamente scritto dall'MI5/BTSS britannico e successivamente condiviso con la CIA. Entrambe le agenzie hanno collaborato all'ulteriore sviluppo del malware e hanno coordinato il loro lavoro nei workshop congiunti di sviluppo.

Oggi, 14 aprile 2017, WikiLeaks pubblica sei documenti del progetto HIVE della CIA creato dal suo "Embedded Development Branch" (EDB).

HIVE è un malware per infrastruttura back-end con un'interfaccia HTTPS rivolta al pubblico che viene utilizzata dagli impianti della CIA per trasferire informazioni esfiltrate dalle macchine bersaglio alla CIA e per ricevere comandi dai suoi operatori per eseguire compiti specifici sugli obiettivi. HIVE viene utilizzato in più impianti di malware e operazioni della CIA. L'interfaccia HTTPS pubblica utilizza domini di copertura dall'aspetto insospettabile per nascondere la sua presenza.

Le società antivirus e gli esperti forensi hanno notato che alcuni possibili malware statali utilizzavano questo tipo di infrastruttura back-end analizzando il comportamento di comunicazione di questi specifici impianti, ma non erano in grado di attribuire il back-end (e quindi l'impianto stesso) alle operazioni gestite dalla CIA. In un recente post sul blog di Symantec, che è riuscita ad attribuire le attività del "Longhorn" alla CIA basata sul Vault 7, tale infrastruttura back-end viene descritta:

I documenti di questa pubblicazione potrebbero consentire ulteriormente ai ricercatori anti-malware e agli esperti forensi di analizzare questo tipo di comunicazione tra gli impianti di malware e i server back-end utilizzati in precedenti attività illegali.

Oggi, 7 aprile 2017, WikiLeaks pubblica Vault 7 "Grasshopper": 27 documenti del framework Grasshopper della CIA, una piattaforma utilizzata per creare payload di malware personalizzati per i sistemi operativi Microsoft Windows.

Grasshopper viene fornito con una varietà di moduli che possono essere utilizzati da un operatore della CIA come blocchi per costruire un impianto personalizzato che si comporterà diversamente, ad esempio mantenendo la persistenza sul computer in modo diverso, a seconda di quali particolari caratteristiche o capacità vengono selezionate nel processo di costruzione del pacchetto. Inoltre, Grasshopper fornisce un linguaggio molto flessibile per definire le regole utilizzate per "eseguire un sondaggio pre-installazione del dispositivo di destinazione, assicurando che il payload verrà installato solo se il dispositivo di destinazione ha la giusta configurazione". Attraverso questa grammatica gli operatori della CIA sono in grado di costruire una logica da molto semplice a molto complessa utilizzata per determinare, ad esempio, se sul dispositivo di destinazione è in esecuzione una versione specifica di Microsoft Windows o se un particolare prodotto antivirus è in esecuzione o meno.

Grasshopper consente di installare strumenti utilizzando una varietà di meccanismi di persistenza e di modificarli utilizzando una varietà di estensioni (come la crittografia). L'elenco dei requisiti dell'Automated Implant Branch (AIB) per Grasshopper pone particolare attenzione all'elusione della PSP, in modo che qualsiasi prodotto di sicurezza personale come "MS Security Essentials", "Rising", "Symantec Endpoint" o "Kaspersky IS" sulle macchine target non rilevi elementi di Grasshopper.

Uno dei meccanismi di persistenza utilizzati dalla CIA in questo caso è "Stolen Goods", i cui "componenti sono stati presi dal malware noto come Carberp, un sospetto rootkit della criminalità organizzata russa". confermando il riciclaggio di malware trovato su Internet dalla CIA. "La fonte di Carberp è stata pubblicata online e ha consentito ad AED/RDB di rubare facilmente i componenti necessari dal malware.". Sebbene la CIA affermi che "[la maggior parte] di Carberp non è stata utilizzata in Stolen Goods", riconosce che "[il] metodo di persistenza e parti dell'installer sono stati presi e modificati per soddisfare le nostre esigenze", fornendo un ulteriore esempio di riutilizzo di porzioni di malware pubblicamente disponibile da parte della CIA, come osservato nella loro analisi del materiale trapelato dalla società italiana "HackingTeam".

I documenti pubblicati oggi da WikiLeaks forniscono informazioni dettagliate sul processo di creazione di moderni strumenti di spionaggio e approfondimenti su come la CIA mantiene la persistenza sui computer Microsoft Windows infetti, fornendo indicazioni a coloro che cercano di difendere i propri sistemi per identificare eventuali compromissioni esistenti.

Oggi, 31 marzo 2017, WikiLeaks rilascia Vault 7 "Marble" - 676 ​​file di codice sorgente per il Marble Framework anti-forense segreto della CIA. Marble viene utilizzato per impedire agli investigatori forensi e alle società antivirus di attribuire virus, trojan e attacchi di hacking alla CIA.

Marble lo fa nascondendo ("offuscando") i frammenti di testo utilizzati nel malware della CIA dall'ispezione visiva. Questo è l’equivalente digitale di uno strumento specializzato della CIA per posizionare copertine sul testo in lingua inglese sui sistemi d’arma prodotti negli Stati Uniti prima di consegnarli agli insorti segretamente sostenuti dalla CIA.

Marble fa parte dell'approccio anti-forense della CIA e della Core Library di codice malware della CIA. È " [D]progettato per consentire un offuscamento flessibile e facile da usare " poiché " gli algoritmi di offuscamento delle stringhe (soprattutto quelli univoci) vengono spesso utilizzati per collegare il malware a uno specifico sviluppatore o centro di sviluppo ".

Il codice sorgente di Marble include anche un deoffuscatore per invertire l'offuscamento del testo della CIA. In combinazione con le tecniche di offuscamento rivelate, emerge uno schema o una firma che può aiutare gli investigatori forensi ad attribuire precedenti attacchi di hacking e virus alla CIA. Il marmo era in uso presso la CIA nel 2016. Ha raggiunto 1,0 nel 2015.

Il codice sorgente mostra che Marble ha esempi di test non solo in inglese ma anche in cinese, russo, coreano, arabo e farsi. Ciò consentirebbe un doppio gioco di attribuzione forense, ad esempio fingendo che la lingua parlata dal creatore del malware non fosse l'inglese americano, ma il cinese, ma poi mostrando tentativi di nascondere l'uso del cinese, portando gli investigatori forensi ancora più fortemente alla conclusione sbagliata, --- ma ci sono altre possibilità, come nascondere falsi messaggi di errore.

Marble Framework viene utilizzato solo per l'offuscamento e non contiene vulnerabilità o exploit di per sé.

Oggi, 23 marzo 2017, WikiLeaks pubblica Vault 7 "Dark Matter", che contiene la documentazione per diversi progetti della CIA che infettano il firmware di Apple Mac (il che significa che l'infezione persiste anche se il sistema operativo viene reinstallato) sviluppati dall'Embedded Development Branch (EDB) della CIA. Questi documenti spiegano le tecniche utilizzate dalla CIA per ottenere "persistenza" sui dispositivi Apple Mac, inclusi Mac e iPhone, e dimostrano il loro utilizzo di malware EFI/UEFI e firmware.

Tra gli altri, questi documenti rivelano il progetto "Sonic Screwdriver" che, come spiegato dalla CIA, è un "meccanismo per l'esecuzione di codice su dispositivi periferici durante l'avvio di un laptop o desktop Mac" che consente a un utente malintenzionato di avviare il suo software di attacco, ad esempio da una chiavetta USB "anche quando è abilitata una password del firmware". L'infettore "Sonic Screwdriver" della CIA è memorizzato nel firmware modificato di un adattatore Apple Thunderbolt-Ethernet.

"DarkSeaSkies" è "un impianto che persiste nel firmware EFI di un computer Apple MacBook Air" ed è costituito da "DarkMatter", "SeaPea" e "NightSkies", rispettivamente impianti EFI, kernel-space e user-space.

In questa versione sono inclusi anche i documenti sul malware "Triton" per MacOSX, sul suo infetto "Dark Mallet" e sulla sua versione persistente EFI "DerStarke". Mentre il manuale DerStarke1.4 pubblicato oggi risale al 2013, altri documenti del Vault 7 mostrano che dal 2016 la CIA continua a fare affidamento e ad aggiornare questi sistemi e sta lavorando alla produzione di DerStarke2.0.

In questa versione è incluso anche il manuale per "NightSkies 1.2" della CIA, uno "strumento faro/caricatore/impianto" per l'iPhone di Apple. Degno di nota è che NightSkies ha raggiunto la versione 1.2 nel 2008 ed è espressamente progettato per essere installato fisicamente sugli iPhone freschi di fabbrica. cioè la CIA ha infettato la catena di fornitura dell'iPhone dei suoi obiettivi almeno dal 2008.

Sebbene le risorse della CIA vengano talvolta utilizzate per infettare fisicamente i sistemi in custodia di un obiettivo, è probabile che molti attacchi di accesso fisico della CIA abbiano infettato la catena di approvvigionamento dell'organizzazione presa di mira, anche interdicendo ordini postali e altre spedizioni (apertura, infezione e reinvio) in partenza dagli Stati Uniti o in altro modo.

Organizzazioni di esperti

WL Research Community: ricerca fornita dagli utenti basata su documenti pubblicati da WikiLeaks.

Tor è una rete crittografata di anonimizzazione che rende più difficile intercettare le comunicazioni Internet o vedere da dove provengono o sono dirette le comunicazioni.

Tails è un sistema operativo live che puoi avviare su quasi tutti i computer da un DVD, una chiavetta USB o una scheda SD. Ha lo scopo di preservare la tua privacy e il tuo anonimato.

La Courage Foundation è un'organizzazione internazionale che sostiene coloro che rischiano la vita o la libertà per dare un contributo significativo alla documentazione storica.

Bitcoin utilizza la tecnologia peer-to-peer per operare senza autorità centrale o banche; la gestione delle transazioni e l'emissione di bitcoin viene effettuata collettivamente dalla rete.