Vault 8 — Fuga di notizie sul codice sorgente della CIA
Camera blindata 8
Codice sorgente e analisi dei progetti software della CIA, inclusi quelli descritti nella serieVault7 .
Questa pubblicazione permetterà ai giornalisti investigativi, agli esperti forensi e al pubblico in generale di identificare e comprendere meglio le componenti occulte dell'infrastruttura della CIA.
Il codice sorgente pubblicato in questa serie contiene software progettato per essere eseguito su server controllati dalla CIA. Come la precedente serie Vault7 di WikiLeaks, il materiale pubblicato da WikiLeaks non contiene vulnerabilità zero-day o simili falle di sicurezza che potrebbero essere sfruttate da altri.
Tutte le pubblicazioni
- Hive - 9 novembre 2017
Alveare
Oggi, 9 novembre 2017, WikiLeaks pubblica il codice sorgente e i registri di sviluppo su Hive , una componente fondamentale dell'infrastruttura della CIA per il controllo dei suoi malware.
Hive risolve un problema critico per gli operatori di malware della CIA. Anche il malware più sofisticato installato su un computer bersaglio è inutile se non esiste un modo per comunicare con i suoi operatori in modo sicuro e discreto. Utilizzando Hive, anche se un malware viene scoperto su un computer bersaglio, è difficile attribuirlo alla CIA semplicemente analizzando le comunicazioni del malware con altri server su Internet. Hive fornisce una piattaforma di comunicazione nascosta che consente a un'ampia gamma di malware della CIA di inviare informazioni esfiltrate ai server della CIA e di ricevere nuove istruzioni dagli operatori dell'agenzia.
Hive può eseguire più operazioni utilizzando più impianti sui computer target. Ogni operazione registra anonimamente almeno un dominio di copertura (ad esempio "perfectly-boring-looking-domain.com") per uso proprio. Il server che ospita il sito web del dominio viene affittato da provider di hosting commerciali come VPS (server virtuale privato) e il suo software è personalizzato secondo le specifiche della CIA. Questi server rappresentano il lato pubblico dell'infrastruttura di back-end della CIA e fungono da relay per il traffico HTTP(S) su una connessione VPN verso un server "nascosto" della CIA chiamato "Blot" .
Il dominio di copertura fornisce contenuti "innocui" se qualcuno lo visita per caso. Un visitatore non sospetterà che si tratti di qualcosa di diverso da un normale sito web. L'unica particolarità non è visibile agli utenti non esperti di informatica: un'opzione del server HTTPS non molto diffusa, ovvero l' autenticazioneclient opzionale . Hive utilizza questa rara opzione, quindi l'utente che naviga sul sito web non è tenuto ad autenticarsi, in quanto è facoltativa. Tuttavia, gli impianti che comunicano con Hive si autenticano e possono quindi essere rilevati dal server Blot . Il traffico proveniente dagli impianti viene inviato a un gateway di gestione dell'operatore dell'impianto chiamato Honeycomb (vedi grafico sopra), mentre tutto il resto del traffico viene indirizzato a un server di copertura che fornisce contenuti innocui a tutti gli altri utenti.
I certificati digitali per l'autenticazione degli impianti vengono generati dalla CIA impersonando entità esistenti. I tre esempi inclusi nel codice sorgente creano un certificato falso per la società antivirusKaspersky Laboratory di Mosca, fingendo di essere firmato da Thawte Premium Server CA di Città del Capo . In questo modo, se l'organizzazione bersaglio analizza il traffico di rete in uscita dalla propria rete, è probabile che attribuisca erroneamente l'esfiltrazione di dati da parte della CIA a entità non coinvolte, le cui identità sono state impersonate.
La documentazione relativa a Hive è disponibile nella serie WikiLeaks Vault7 .