Archivio WikiLeaks 7
Vault 7: Svelati gli strumenti di hacking della CIA
Contenuto
Comunicato stampa
Oggi, martedì 7 marzo 2017, WikiLeaks ha dato inizio alla sua nuova serie di fughe di notizie riguardanti la Central Intelligence Agency (CIA) statunitense. Denominata in codice "Vault 7" da WikiLeaks, si tratta della più grande pubblicazione di documenti riservati sull'agenzia mai realizzata.
La prima parte completa della serie, "Anno Zero", comprende 8.761 documenti e file provenienti da una rete isolata e ad alta sicurezza situata all'interno del Centro per l'intelligence cibernetica della CIA a Langley, in Virginia. Essa fa seguito alla rivelazione preliminare del mese scorso , secondo cui la CIA aveva preso di mira partiti politici e candidati francesi in vista delle elezioni presidenziali del 2012 .
Di recente, la CIA ha perso il controllo della maggior parte del suo arsenale di hacking, inclusi malware, virus, trojan, exploit "zero-day" trasformati in armi, sistemi di controllo remoto di malware e la relativa documentazione. Questa straordinaria raccolta, che ammonta a diverse centinaia di milioni di righe di codice, conferisce a chi la possiede l'intera capacità di hacking della CIA. L'archivio sembra essere stato diffuso in modo non autorizzato tra ex hacker e collaboratori del governo statunitense, uno dei quali ha fornito a WikiLeaks parte del materiale.
"Year Zero" introduce la portata e la direzione del programma globale di hacking segreto della CIA, il suo arsenale di malware e decine di exploit "zero-day" utilizzati come armi contro una vasta gamma di prodotti di aziende statunitensi ed europee, tra cui iPhone di Apple, Android di Google e Windows di Microsoft, e persino televisori Samsung, trasformati in microfoni nascosti.
Dal 2001 la CIA ha acquisito preminenza politica e di bilancio rispetto alla National Security Agency (NSA) statunitense. La CIA si è trovata a costruire non solo la sua ormai famigerata flotta di droni, ma anche un tipo di forza segreta di portata globale molto diversa: una propria consistente flotta di hacker. La divisione di hacking dell'agenzia le ha permesso di non dover rivelare le sue operazioni, spesso controverse, alla NSA (la sua principale rivale burocratica) per poter attingere alle capacità di hacking di quest'ultima.
Alla fine del 2016, la divisione di hacking della CIA, che formalmente rientra sotto il Center for Cyber Intelligence (CCI) dell'agenzia, contava oltre 5000 utenti registrati e aveva prodotto più di mille sistemi di hacking, trojan, virus e altri malware "a scopo bellico". La portata dell'impresa della CIA è tale che, entro il 2016, i suoi hacker avevano utilizzato più codice di quello impiegato per far funzionare Facebook. La CIA aveva di fatto creato la propria "NSA" con ancora meno trasparenza e senza rispondere pubblicamente alla domanda se una spesa di bilancio così ingente per duplicare le capacità di un'agenzia rivale potesse essere giustificata.
In una dichiarazione a WikiLeaks, la fonte ha dettagliato alcune questioni politiche che, a suo dire, necessitano urgentemente di un dibattito pubblico, tra cui se le capacità di hacking della CIA superino i poteri conferitile dal mandato e il problema del controllo pubblico sull'agenzia. La fonte desidera avviare un dibattito pubblico sulla sicurezza, la creazione, l'uso, la proliferazione e il controllo democratico delle armi informatiche.
Una volta che una singola "arma" informatica viene "liberata", può diffondersi in tutto il mondo in pochi secondi, per essere utilizzata da stati rivali, mafie informatiche e hacker adolescenti.
Julian Assange, direttore di WikiLeaks, ha affermato che "Esiste un rischio di proliferazione estremo nello sviluppo di 'armi' informatiche. Si possono tracciare parallelismi tra la proliferazione incontrollata di tali 'armi', derivante dall'incapacità di contenerle unita al loro elevato valore di mercato, e il commercio globale di armi. Ma il significato di 'Anno Zero' va ben oltre la scelta tra guerra cibernetica e pace cibernetica. La rivelazione è eccezionale anche da un punto di vista politico, legale e forense."
WikiLeaks ha esaminato attentamente le rivelazioni di "Year Zero" e pubblicato documenti sostanziali della CIA, evitando al contempo la diffusione di armi informatiche "attive" fino a quando non emergerà un consenso sulla natura tecnica e politica del programma della CIA e su come tali "armi" debbano essere analizzate, disattivate e pubblicate.
WikiLeaks ha inoltre deciso di oscurare e anonimizzare alcune informazioni identificative in "Year Zero" per consentire un'analisi approfondita. Queste oscurazioni riguardano decine di migliaia di obiettivi della CIA e dispositivi di attacco in America Latina, Europa e Stati Uniti. Pur essendo consapevoli dei risultati imperfetti di qualsiasi approccio, restiamo fedeli al nostro modello di pubblicazione e sottolineiamo che il numero di pagine pubblicate nella prima parte di "Vault 7" ("Year Zero") supera già il numero totale di pagine pubblicate nei primi tre anni delle rivelazioni di Edward Snowden sulla NSA.
Analisi
Un malware della CIA prende di mira iPhone, Android e smart TV.
I malware e gli strumenti di hacking della CIA sono sviluppati dall'EDG (Engineering Development Group), un gruppo di sviluppo software interno al CCI (Center for Cyber Intelligence), un dipartimento appartenente alla DDI (Directorate for Digital Innovation) della CIA. La DDI è una delle cinque principali direzioni della CIA (per maggiori dettagli, consultare l' organigramma della CIA).
L'EDG è responsabile dello sviluppo, del collaudo e del supporto operativo di tutte le backdoor, gli exploit, i payload dannosi, i trojan, i virus e qualsiasi altro tipo di malware utilizzato dalla CIA nelle sue operazioni segrete in tutto il mondo.
La crescente sofisticazione delle tecniche di sorveglianza ha suscitato paragoni con "1984" di George Orwell, ma "Weeping Angel", sviluppato dalla Embedded Devices Branch (EDB) della CIA, che si insinua nelle smart TV trasformandole in microfoni nascosti, ne è sicuramente la realizzazione più emblematica.
L'attacco contro le smart TV Samsung è stato sviluppato in collaborazione con l'MI5/BTSS del Regno Unito. Dopo l'infestazione, Weeping Angel imposta la TV bersaglio in modalità "Fake-Off", in modo che il proprietario creda erroneamente che la TV sia spenta quando in realtà è accesa. In modalità "Fake-Off", la TV funziona come una microspia, registrando le conversazioni nella stanza e inviandole via Internet a un server segreto della CIA.
Nell'ottobre del 2014 la CIA stava valutando anche la possibilità di infettare i sistemi di controllo dei veicoli utilizzati da auto e camion moderni . Lo scopo di tale controllo non è specificato, ma consentirebbe alla CIA di condurre assassinii pressoché impossibili da rilevare.
La Mobile Devices Branch (MDB) della CIA ha sviluppato numerosi attacchi per hackerare e controllare a distanza gli smartphone più diffusi . I telefoni infetti possono essere programmati per inviare alla CIA la geolocalizzazione dell'utente, le comunicazioni audio e testuali, nonché per attivare segretamente la fotocamera e il microfono.
Nonostante la quota di mercato minoritaria (14,5%) dell'iPhone nel mercato globale degli smartphone nel 2016, un'unità specializzata della Mobile Development Branch della CIA produce malware per infettare, controllare ed esfiltrare dati da iPhone e altri prodotti Apple con sistema operativo iOS, come gli iPad . L'arsenale della CIA comprende numerose vulnerabilità "zero-day" locali e remote, sviluppate dalla CIA stessa o ottenute da GCHQ, NSA, FBI, oppure acquistate da aziende specializzate in armi informatiche come Baitshop. L'attenzione sproporzionata su iOS può essere spiegata dalla popolarità dell'iPhone tra le élite sociali, politiche, diplomatiche e imprenditoriali.
Un'unità simile prende di mira Android di Google, il sistema operativo utilizzato dalla maggior parte degli smartphone a livello mondiale (~85%), inclusi Samsung, HTC e Sony . L'anno scorso sono stati venduti 1,15 miliardi di telefoni con sistema operativo Android. Il rapporto "Year Zero" mostra che, a partire dal 2016 , la CIA disponeva di 24 "zero day" Android "armati" , sviluppati internamente o ottenuti da GCHQ, NSA e da aziende appaltatrici nel settore delle armi informatiche.
Queste tecniche consentono alla CIA di aggirare la crittografia di WhatsApp, Signal, Telegram, Wiebo, Confide e Cloackman hackerando gli smartphone su cui sono installati e raccogliendo il traffico audio e dei messaggi prima che venga applicata la crittografia.
Il malware della CIA prende di mira Windows, OSx, Linux e i router.
La CIA si impegna inoltre in modo considerevole per infettare e controllare gli utenti di Microsoft Windows con i suoi malware. Ciò include molteplici "zero-day" locali e remoti, virus in grado di superare l'isolamento della rete come "Hammer Drill" , che infetta i software distribuiti su CD/DVD, virus per supporti rimovibili come le chiavette USB , sistemi per nascondere dati in immagini o in aree nascoste del disco ( "Brutal Kangaroo" ) e per mantenere attive le infestazioni malware .
Molti di questi tentativi di infezione sono coordinati dalla Automated Implant Branch (AIB) della CIA, che ha sviluppato diversi sistemi di attacco per l'infestazione e il controllo automatizzato di malware della CIA, come "Assassin" e "Medusa".
Gli attacchi contro le infrastrutture Internet e i server web sono sviluppati dalla Network Devices Branch (NDB) della CIA.
La CIA ha sviluppato sistemi automatizzati di attacco e controllo malware multipiattaforma che coprono Windows, Mac OS X, Solaris, Linux e altri, come "HIVE" di EDB e i relativi strumenti "Cutthroat" e "Swindle", descritti nella sezione esempi qui di seguito .
Vulnerabilità "accumulate" dalla CIA ("zero giorni")
In seguito alle rivelazioni di Edward Snowden sulla NSA, l'industria tecnologica statunitense ha ottenuto dall'amministrazione Obama l'impegno a divulgare regolarmente – anziché tenere per sé – vulnerabilità, exploit, bug o "zero-day" di rilievo ad Apple, Google, Microsoft e altri produttori statunitensi.
Gravi vulnerabilità non comunicate ai produttori mettono a rischio ampie fasce della popolazione e infrastrutture critiche, esponendole a servizi segreti stranieri o criminali informatici che le scoprono autonomamente o ne vengono a conoscenza tramite voci. Se la CIA è in grado di scoprire tali vulnerabilità, possono farlo anche altri.
L'impegno del governo statunitense nei confronti del Vulnerabilities Equities Process è giunto dopo un'intensa attività di lobbying da parte delle aziende tecnologiche statunitensi, che rischiano di perdere la propria quota di mercato globale a causa di vulnerabilità, reali o presunte, nascoste. Il governo ha dichiarato che avrebbe reso pubbliche, in modo continuativo, tutte le vulnerabilità diffuse scoperte dopo il 2010.
I documenti di "Year Zero" dimostrano che la CIA ha violato gli impegni presi con l'amministrazione Obama. Molte delle vulnerabilità utilizzate nell'arsenale informatico della CIA sono diffuse e alcune potrebbero essere già state scoperte da agenzie di intelligence rivali o da criminali informatici.
Ad esempio, uno specifico malware della CIA rivelato in "Year Zero" è in grado di penetrare, infettare e controllare il software sia dei telefoni Android che degli iPhone che gestiscono o hanno gestito gli account Twitter presidenziali. La CIA attacca questo software sfruttando vulnerabilità di sicurezza non divulgate ("zero day") di cui è in possesso, ma se la CIA è in grado di hackerare questi telefoni, lo può fare anche chiunque altro abbia ottenuto o scoperto la vulnerabilità. Finché la CIA continuerà a tenere nascoste queste vulnerabilità ad Apple e Google (che producono i telefoni), non verranno corrette e i telefoni rimarranno vulnerabili agli attacchi.
Le stesse vulnerabilità esistono per la popolazione in generale, compresi i membri del Gabinetto degli Stati Uniti, il Congresso, i principali CEO, gli amministratori di sistema, i responsabili della sicurezza e gli ingegneri. Nascondendo queste falle di sicurezza a produttori come Apple e Google, la CIA si assicura di poter hackerare chiunque, a costo di lasciare tutti vulnerabili agli attacchi.
I programmi di "guerra cibernetica" rappresentano un serio rischio di proliferazione.
È impossibile tenere sotto controllo in modo efficace le "armi" informatiche.
Sebbene la proliferazione nucleare sia stata frenata dagli enormi costi e dalle infrastrutture visibili necessarie per assemblare una quantità sufficiente di materiale fissile per produrre una massa nucleare critica, le "armi" informatiche, una volta sviluppate, sono molto difficili da mantenere.
Le "armi" informatiche sono in realtà semplici programmi per computer che possono essere piratati come qualsiasi altro. Essendo interamente composte da informazioni, possono essere copiate rapidamente e senza alcun costo aggiuntivo.
Mettere in sicurezza tali "armi" è particolarmente difficile, poiché le stesse persone che le sviluppano e le utilizzano possiedono le competenze per esfiltrarne copie senza lasciare tracce, a volte usando le stesse "armi" contro le organizzazioni che le detengono. Esistono notevoli incentivi economici per gli hacker e i consulenti governativi ad ottenere copie, dato che esiste un "mercato delle vulnerabilità" globale disposto a pagare centinaia di migliaia o milioni di dollari per copie di tali "armi". Allo stesso modo, appaltatori e aziende che ottengono tali "armi" a volte le utilizzano per i propri scopi, ottenendo un vantaggio sui concorrenti nella vendita di servizi di "hacking".
Negli ultimi tre anni, il settore dell'intelligence statunitense, che comprende agenzie governative come la CIA e la NSA e i loro appaltatori, come Booz Allan Hamilton, è stato oggetto di una serie senza precedenti di furti di dati perpetrati dai propri dipendenti.
Diversi membri della comunità dell'intelligence, i cui nomi non sono ancora stati resi pubblici, sono stati arrestati o sono oggetto di indagini penali federali in episodi distinti.
L'episodio più eclatante si è verificato l'8 febbraio 2017, quando una giuria federale statunitense ha incriminato Harold T. Martin III con 20 capi d'accusa per gestione impropria di informazioni classificate. Il Dipartimento di Giustizia ha affermato di aver sequestrato a Harold T. Martin III circa 50.000 gigabyte di informazioni ottenute da programmi classificati della NSA e della CIA, incluso il codice sorgente di numerosi strumenti di hacking.
Una volta che una singola "arma" informatica viene "diffusa", può diffondersi in tutto il mondo in pochi secondi ed essere utilizzata da stati pari, mafie informatiche e hacker adolescenti.
Il consolato statunitense a Francoforte è una base segreta di hacker della CIA.
Oltre alle sue operazioni a Langley, in Virginia, la CIA utilizza anche il consolato statunitense di Francoforte come base segreta per i suoi hacker che operano in Europa, Medio Oriente e Africa.
Agli hacker della CIA che operano dal consolato di Francoforte ( "Centro per l'intelligence cibernetica europea" o CCIE) vengono forniti passaporti diplomatici ("neri") e la copertura del Dipartimento di Stato. Le istruzioni per gli hacker della CIA in arrivo fanno apparire insignificanti gli sforzi di controspionaggio della Germania: "Passate indisturbati attraverso la dogana tedesca perché avete la vostra storia di copertura perfettamente collaudata, e tutto ciò che hanno fatto è stato timbrare il vostro passaporto".
La tua storia di copertura (per questo viaggio)
D: Perché sei qui?
A: Fornire supporto alle consulenze tecniche presso il Consolato.
Due precedenti pubblicazioni di WikiLeaks forniscono ulteriori dettagli sugli approcci della CIA alle procedure doganali e di controllo secondario .
Una volta giunti a Francoforte, gli hacker della CIA possono viaggiare senza ulteriori controlli alle frontiere nei 25 paesi europei che fanno parte dell'area Schengen, tra cui Francia, Italia e Svizzera.
Numerosi metodi di attacco informatico della CIA sono progettati per operare in prossimità fisica. Questi metodi sono in grado di penetrare reti altamente sicure e disconnesse da Internet, come ad esempio i database dei registri di polizia. In questi casi, un agente della CIA o un funzionario dei servizi segreti alleati, agendo su istruzioni specifiche, si infiltra fisicamente nel luogo di lavoro preso di mira. All'attaccante viene fornita una chiavetta USB contenente malware sviluppato appositamente per la CIA, che viene inserita nel computer bersaglio. L'attaccante infetta quindi il sistema ed esfiltra i dati su supporti rimovibili. Ad esempio, il sistema di attacco Fine Dining della CIA fornisce 24 applicazioni esca che le spie della CIA possono utilizzare. Agli occhi dei testimoni, la spia sembra eseguire un programma che riproduce video (ad esempio VLC), presenta diapositive (Prezi), gioca a un videogioco (Breakout 2, 2048) o addirittura esegue un finto antivirus (Kaspersky, McAfee, Sophos). Ma mentre l'applicazione esca è visualizzata sullo schermo, il sistema sottostante viene automaticamente infettato e compromesso.
Come la CIA ha aumentato drasticamente i rischi di proliferazione
In quello che è senza dubbio uno dei più clamorosi autogol dell'intelligence a memoria d'uomo, la CIA ha strutturato il suo sistema di classificazione in modo tale che per la parte più preziosa sul mercato del "Vault 7" — il malware armato della CIA (impianti + vulnerabilità zero-day), le stazioni di ascolto (LP) e i sistemi di comando e controllo (C2) — l'agenzia abbia ben poche possibilità di ricorso legale.
La CIA ha declassificato questi sistemi.
Il motivo per cui la CIA ha scelto di non classificare il proprio arsenale cibernetico rivela come i concetti sviluppati per uso militare non si adattino facilmente al "campo di battaglia" della "guerra" cibernetica.
Per attaccare i suoi obiettivi, la CIA richiede solitamente che i suoi impianti comunichino con i programmi di controllo tramite internet. Se gli impianti della CIA, il software di comando e controllo e quello delle stazioni di ascolto fossero classificati, gli ufficiali della CIA potrebbero essere perseguiti o licenziati per aver violato le norme che vietano la pubblicazione di informazioni classificate su internet. Di conseguenza, la CIA ha segretamente declassificato la maggior parte del suo codice di spionaggio/guerra cibernetica. Il governo degli Stati Uniti non può nemmeno far valere il diritto d'autore, a causa delle restrizioni previste dalla Costituzione americana. Ciò significa che i produttori di "armi" cibernetiche e gli hacker possono liberamente "piratare" queste "armi" se riescono a ottenerle. La CIA si è dovuta affidare principalmente all'offuscamento per proteggere i segreti dei suoi malware.
Le armi convenzionali, come i missili, possono essere lanciate contro il nemico (ad esempio, in un'area non protetta). La vicinanza o l'impatto con il bersaglio provocano la detonazione dell'ordigno, comprese le sue parti classificate. Pertanto, il personale militare non viola le norme di classificazione sparando con ordigni contenenti parti classificate. È probabile che l'ordigno esploda. Se ciò non accade, significa che non era nelle intenzioni dell'operatore.
Nell'ultimo decennio, le operazioni di hacking statunitensi sono state sempre più spesso mascherate da gergo militare per accedere ai finanziamenti del Dipartimento della Difesa. Ad esempio, i tentativi di "iniezione di malware" (gergo commerciale) o "installazione di impianti" (gergo della NSA) vengono definiti "attacchi" come se si trattasse di un vero e proprio sparo. Tuttavia, l'analogia è discutibile.
A differenza di proiettili, bombe o missili, la maggior parte dei malware della CIA è progettata per sopravvivere per giorni o addirittura anni dopo aver raggiunto il suo "obiettivo". I malware della CIA non "esplodono all'impatto", ma infettano permanentemente il bersaglio. Per infettare il dispositivo del bersaglio, è necessario installare copie del malware sui dispositivi stessi, conferendo così al bersaglio il possesso fisico del malware. Per esfiltrare dati e inviarli alla CIA o per attendere ulteriori istruzioni, il malware deve comunicare con i sistemi di comando e controllo (C2) della CIA, ospitati su server connessi a Internet. Tuttavia, tali server non sono generalmente autorizzati a contenere informazioni classificate, pertanto anche i sistemi di comando e controllo della CIA vengono declassificati.
Un "attacco" riuscito al sistema informatico di un bersaglio assomiglia più a una serie di complesse manovre finanziarie in un'offerta pubblica di acquisto ostile o alla diffusione mirata di voci per ottenere il controllo della leadership di un'organizzazione, piuttosto che al lancio di un sistema d'arma. Se si volesse fare un paragone militare, l'infestazione di un bersaglio potrebbe essere paragonata all'esecuzione di un'intera serie di manovre militari contro il territorio del bersaglio, tra cui osservazione, infiltrazione, occupazione e sfruttamento.
Eludere le analisi forensi e gli antivirus
Una serie di standard definisce i modelli di infestazione da malware della CIA che possono aiutare gli investigatori forensi sulla scena del crimine, così come Apple, Microsoft, Google, Samsung, Nokia, Blackberry, Siemens e le aziende di antivirus, ad attribuire le cause degli attacchi e a difendersi da essi.
Gli hacker della CIA hanno sviluppato attacchi efficaci contro la maggior parte dei programmi antivirus più noti. Questi attacchi sono documentati in AV defeats , Personal Security Products , Detecting and defeating PSPs e PSP/Debugger/RE Avoidance . Ad esempio, Comodo è stato neutralizzato da un malware della CIA che si è posizionato nel "Cestino" di Windows . Inoltre, Comodo 6.x presenta una "Gaping Hole of DOOM" (una grave falla di sicurezza) .
Gli hacker della CIA hanno discusso degli errori commessi dagli hacker dell'"Equation Group" della NSA e di come i creatori di malware della CIA potrebbero evitare di incorrere in problemi simili .
Esempi
Il sistema di gestione dell'Engineering Development Group (EDG) della CIA contiene circa 500 progetti diversi (solo alcuni dei quali documentati da "Year Zero"), ognuno con i propri sottoprogetti, malware e strumenti per hacker.
La maggior parte di questi progetti riguarda strumenti utilizzati per la penetrazione, l'infestazione ("impianto"), il controllo e l'esfiltrazione.
Un altro ramo di sviluppo si concentra sulla progettazione e gestione di postazioni di ascolto (LP) e sistemi di comando e controllo (C2) utilizzati per comunicare con gli impianti della CIA e controllarli; progetti speciali sono impiegati per colpire hardware specifici, dai router alle smart TV.
Di seguito vengono descritti alcuni progetti esemplificativi, ma per l'elenco completo dei progetti descritti da "Year Zero" di WikiLeaks, si prega di consultare l'indice .
INSULTO
Le tecniche di hacking elaborate artigianalmente dalla CIA rappresentano un problema per l'agenzia stessa. Ogni tecnica creata forma un'"impronta digitale" che può essere utilizzata dagli investigatori forensi per attribuire molteplici attacchi diversi alla stessa entità.
È come trovare la stessa caratteristica ferita da coltello su più vittime di omicidio. Lo stile unico della ferita fa sorgere il sospetto che un singolo assassino sia il responsabile. Non appena uno degli omicidi viene risolto, anche gli altri vengono attribuiti con maggiore probabilità.
Il gruppo UMBRAGE della Remote Devices Branch della CIA raccoglie e gestisce una consistente libreria di tecniche di attacco "rubate" da malware prodotti in altri stati, tra cui la Federazione Russa.
Con UMBRAGE e progetti correlati, la CIA non solo può aumentare il numero totale di tipologie di attacchi, ma anche depistare le indagini lasciando dietro di sé le "impronte digitali" dei gruppi da cui sono state rubate le tecniche di attacco.
I componenti di UMBRAGE includono keylogger, raccolta di password, acquisizione di dati tramite webcam, distruzione dei dati, persistenza, escalation dei privilegi, furtività, elusione degli antivirus (PSP) e tecniche di sorveglianza.
Cena elegante
Il servizio di ristorazione di alta qualità prevede un questionario standardizzato, ovvero un menu, che gli agenti della CIA compilano. Il questionario viene utilizzato dall'OSB ( Operational Support Branch ) dell'agenzia per trasformare le richieste degli agenti in requisiti tecnici per gli attacchi informatici (in genere "esfiltrazione" di informazioni dai sistemi informatici) per operazioni specifiche. Il questionario consente all'OSB di identificare come adattare gli strumenti esistenti all'operazione e di comunicarlo al personale della CIA addetto alla configurazione del malware. L'OSB funge da interfaccia tra il personale operativo della CIA e il personale di supporto tecnico competente.
Tra i possibili obiettivi della raccolta figurano "Asset", "Liason Asset", "System Administrator", "Foreign Information Operations", "Foreign Intelligence Agencies" e "Foreign Government Entities". È degna di nota l'assenza di qualsiasi riferimento a estremisti o criminali transnazionali. All'"Incaricato del caso" viene inoltre richiesto di specificare l'ambiente del bersaglio, come il tipo di computer, il sistema operativo utilizzato, la connettività Internet e le utility antivirus installate (PSP), nonché un elenco dei tipi di file da esfiltrare, come documenti Office, audio, video, immagini o tipi di file personalizzati. Il "menu" richiede anche informazioni sulla possibilità di accedere ripetutamente al bersaglio e sulla durata dell'accesso non rilevato al computer. Queste informazioni vengono utilizzate dal software "JQJIMPROVISE" della CIA (vedi sotto) per configurare una serie di malware della CIA adatti alle esigenze specifiche di un'operazione.
Improvvisare (JQJIMPROVISE)
'Improvise' è un set di strumenti per la configurazione, l'elaborazione successiva, l'impostazione del payload e la selezione del vettore di esecuzione per strumenti di indagine/esfiltrazione, compatibile con tutti i principali sistemi operativi come Windows (Bartender), MacOS (JukeBox) e Linux (DanceFloor). Le sue utility di configurazione, come Margarita, consentono al NOC (Network Operation Center) di personalizzare gli strumenti in base ai requisiti emersi dai questionari di 'Fine Dining'.
ALVEARE
HIVE è una suite di malware multipiattaforma della CIA e il relativo software di controllo. Il progetto fornisce malware personalizzabili per piattaforme Windows, Solaris, MikroTik (utilizzato nei router internet) e Linux, oltre a un'infrastruttura di Listening Post (LP)/Command and Control (C2) per comunicare con questi malware.
Gli impianti sono configurati per comunicare tramite HTTPS con il server web di un dominio di copertura; ogni operazione che utilizza questi impianti ha un dominio di copertura separato e l'infrastruttura può gestire un numero qualsiasi di domini di copertura.
Ogni dominio di copertura si risolve in un indirizzo IP che si trova presso un provider VPS (Virtual Private Server) commerciale. Il server pubblico inoltra tutto il traffico in entrata tramite una VPN a un server "Blot" che gestisce le effettive richieste di connessione dei client. È configurato per l'autenticazione client SSL opzionale: se un client invia un certificato client valido (solo gli impianti possono farlo), la connessione viene inoltrata al toolserver "Honeycomb" che comunica con l'impianto; se manca un certificato valido (come accade se qualcuno tenta di aprire accidentalmente il sito web del dominio di copertura), il traffico viene inoltrato a un server di copertura che fornisce un sito web dall'aspetto innocuo.
Il toolserver Honeycomb riceve le informazioni esfiltrate dall'impianto; un operatore può anche assegnare all'impianto il compito di eseguire operazioni sul computer di destinazione, quindi il toolserver funge da server C2 (comando e controllo) per l'impianto.
Funzionalità simili (sebbene limitate a Windows) sono offerte dal progetto RickBobby.
Domande frequenti
Perché proprio adesso?
WikiLeaks ha pubblicato i risultati non appena le verifiche e le analisi sono state completate.
A febbraio, l'amministrazione Trump ha emesso un ordine esecutivo che richiedeva la preparazione di una revisione sulla "guerra cibernetica" entro 30 giorni.
Sebbene la revisione aumenti l'attualità e la rilevanza della pubblicazione, non ha avuto alcun ruolo nella definizione della data di pubblicazione.
Redazioni
Nelle pagine pubblicate sono stati oscurati nomi, indirizzi email e indirizzi IP esterni (70.875 oscuramenti in totale) in attesa del completamento di ulteriori analisi.
- Eccessiva censura: Alcuni elementi potrebbero essere stati censurati pur non riguardando dipendenti, collaboratori, soggetti oggetto di indagine o altre figure collegate all'agenzia, ma riguardando, ad esempio, gli autori di documentazione relativa a progetti altrimenti pubblici e utilizzati dall'agenzia stessa.
- Identità vs. persona: i nomi oscurati vengono sostituiti da ID utente (numeri) per consentire ai lettori di associare più pagine a un singolo autore. Dato il processo di oscuramento utilizzato, una singola persona può essere rappresentata da più di un identificativo assegnato, ma nessun identificativo si riferisce a più di una persona reale.
- Gli allegati (zip, tar.gz, ...) vengono sostituiti con un PDF che elenca tutti i nomi dei file presenti nell'archivio. Il contenuto dell'archivio potrà essere reso disponibile dopo la valutazione; fino ad allora, l'archivio rimane anonimo.
- Gli allegati contenenti altri file binari vengono sostituiti da un dump esadecimale del contenuto per impedire l'esecuzione accidentale di file binari che potrebbero essere stati infettati da malware della CIA. Una volta valutato, il contenuto potrebbe essere reso disponibile; fino ad allora, il contenuto rimane oscurato.
- Le decine di migliaia di riferimenti ad indirizzi IP instradabili (di cui oltre 22 mila negli Stati Uniti) che corrispondono a possibili obiettivi, server di intercettazione clandestini della CIA, sistemi intermedi e di test, sono stati oscurati per consentire ulteriori indagini esclusive.
- I file binari di origine non pubblica sono disponibili solo come dump per impedire l'esecuzione accidentale di file binari infetti da malware della CIA.
Organigramma
L' organigramma corrisponde al materiale pubblicato finora da WikiLeaks.
Poiché la struttura organizzativa della CIA al di sotto del livello delle Direzioni non è pubblica, la collocazione dell'EDG e delle sue filiali all'interno dell'organigramma dell'agenzia è stata ricostruita a partire dalle informazioni contenute nei documenti finora resi pubblici. Tale ricostruzione è intesa come una rappresentazione approssimativa dell'organizzazione interna; si prega di tenere presente che l'organigramma ricostruito è incompleto e che le riorganizzazioni interne sono frequenti.
Pagine di Wikipedia
"Year Zero" contiene 7818 pagine web con 943 allegati provenienti dal software di sviluppo interno del gruppo. Il software utilizzato a questo scopo si chiama Confluence, un software proprietario di Atlassian. Le pagine web in questo sistema (come in Wikipedia) hanno una cronologia delle versioni che può fornire interessanti spunti su come un documento si è evoluto nel tempo; i 7818 documenti includono queste cronologie di pagina per 1136 versioni recenti.
L'ordine delle pagine denominate all'interno di ciascun livello è determinato dalla data (dalla più vecchia alla più recente). Il contenuto della pagina non è presente se è stato originariamente creato dinamicamente dal software Confluence (come indicato nella pagina ricostruita).
Quale periodo di tempo è coperto?
Gli anni dal 2013 al 2016. L'ordine di visualizzazione delle pagine all'interno di ciascun livello è determinato dalla data (dalla più vecchia alla più recente).
WikiLeaks ha ottenuto la data di creazione/ultima modifica di ogni pagina dalla CIA, ma queste informazioni non sono ancora visibili per motivi tecnici. Di solito la data può essere dedotta o approssimata dal contenuto e dall'ordine delle pagine. Se è fondamentale conoscere l'ora e la data esatte, contatta WikiLeaks.
Cos'è "Vault 7"?
"Vault 7" è una consistente raccolta di materiale sulle attività della CIA ottenuta da WikiLeaks.
Quando è stata recuperata ciascuna parte del "Vault 7"?
La prima parte è stata acquisita di recente e copre il periodo fino al 2016. I dettagli sulle altre parti saranno disponibili al momento della pubblicazione.
Ogni parte di "Vault 7" proviene da una fonte diversa?
I dettagli relativi alle altre parti saranno disponibili al momento della pubblicazione.
Qual è la dimensione totale del "Vault 7"?
Questa serie rappresenta la più grande pubblicazione di intelligence della storia.
Come ha fatto WikiLeaks a ottenere ciascuna parte del "Vault 7"?
Le fonti si fidano di WikiLeaks e credono che non rivelerà informazioni che potrebbero aiutarle a identificarsi.
WikiLeaks non teme forse che la CIA possa agire contro il suo staff per bloccare la serie?
No. Sarebbe certamente controproducente.
WikiLeaks ha già "sfruttato" tutte le storie migliori?
No. WikiLeaks ha volutamente omesso di pubblicare centinaia di storie di grande impatto per incoraggiare altri a scoprirle e, di conseguenza, a creare una base di esperti in materia per le parti successive della serie. Ma ci sono. Basta guardare. Chi dimostrerà eccellenza giornalistica potrà essere preso in considerazione per un accesso anticipato alle parti future.
Non è che altri giornalisti troveranno tutte le storie migliori prima di me?
Improbabile. Ci sono molte più storie di quanti siano i giornalisti o gli accademici in grado di scriverle.