La nuova cyber minaccia per la privacy: tutto ciò che sappiamo sui captatori informatici
In un'analisi del Clusit, tutto quello che bisogna sapere sui trojan captatori informatici, usati dai Governi per intercettare su internet. E che rischiano sempre di cadere in mani sbagliate. Come proteggere i cittadini?
All’1.26 del mattino di lunedì 6 luglio 2015, viene inviato il seguente tweet dall’account di Hacking Team, una delle più importanti società italiane di intelligence: “Siccome non abbiamo nulla da nascondere, pubblichiamo tutte le nostre email, i file e i codici sorgente”. Più di un milione di email vengono rese disponibili su WikiLeaks per un totale di 400 Gigabyte di documentazione della società sottratto e pubblicato.
L’attività principale di Hacking Team è la commercializzazione del software Remote Control System Galileo (altresì definito RCS Galileo), un pacchetto offensivo di alto profilo in grado di infettare ogni tipo di device (dai computer, ai tablet, agli smartphone). L’operazione avviene attraverso un trojan. Il programma maligno (malware) si attiva una volta che l’obiettivo apre una semplice email, scarica un file, si collega a una rete wifi precedentemente attaccata. A questo punto il trojan infetta il device rimanendo nascosto. Inizia quindi la seconda fase, quella del software spia (spyware). Il computer infetto invia file, schermate, chat, mail, conversazioni Skype o registrazioni ambientali al server che ora lo sta controllando da remoto. Il trojan, di per sé, non è una novità, ma l’intuizione di Hacking Team, come di altre società che commercializzano software analoghi, è rivoluzionaria: affiancare a programmi altamente sofisticati di attacco, un cruscotto semplificato che possa essere usato anche da chi non è un esperto di informatica. In due settimane di corso, l’utente è pronto a utilizzare il programma.
L’attacco a Hacking Team ha fatto emergere uno scenario in cui governi, autorità giudiziarie, società e privati cittadini di tutto il mondo possono intercettare conversazioni, attivare la fotocamera o localizzare attraverso il GPS qualunque tipo di device.
A livello internazionale, spiccano sicuramente i rapporti tra Hacking Team e il governo del Sudan e quello russo, ma non sono da sottovalutare quelli con il governo dell’Honduras, Ecuador, Panama, Marocco e quello etiope. Tuttavia Hacking Team non si è limitata a vendere il software a Paesi terzi molti dei quali accusati di violazioni dei diritti umani dai principali organismi internazionali di monitoraggio, ma ha operato con moltissime autorità giudiziarie italiane fornendo informazioni assolutamente rilevanti per raccogliere prove su alcuni dei casi giudiziari più importanti a livello nazionale.
Tra questi va sicuramente ricordato il Caso “Bisignani”, ove si indagava per una presunta associazione a delinquere di stampo massonico, in forza della quale gli imputati avrebbero instaurato, grazie ad un’intricata rete di influenti amicizie, un sistema informativo parallelo che avrebbe avuto tra i suoi obiettivi l’ottenimento di informazioni con le quali assicurarsi favori da parte di esponenti della politica e dell’industria. Nel caso “Bisignani” il giudice per le indagini preliminari non ha qualificato tale attività come un’intercettazione in senso tecnico, lasciando sostanzialmente al Pubblico Ministero il potere di promuovere tale attività investigativa senza bisogno di un provvedimento autorizzativo da parte di un giudice.
Merita un cenno anche il caso dell’omicidio di Yara Gambirasio una giovane ragazza italiana scomparsa il 26 novembre 2010 vicino a Bergamo e ritrovata solo alcuni mesi dopo priva di vita. Il caso ha assunto una grande rilevanza mediatica, oltre che per la giovane età della vittima, anche per l’efferatezza del crimine. Il relativo procedimento giudiziario si è recentemente concluso, dopo un lungo iter investigativo e processuale, il 1° luglio 2016 con la sentenza di ergastolo per Giuseppe Bossetti. Durante il processo è emerso che alcune prove digitali sono state raccolte attraverso il software RCS Galileo installato nel personal computer di Giuseppe Bossetti. I legali hanno provato, senza successo, a introdurre la teoria dell’“evidence planting”, teoria da non sottovalutare nel momento stesso in cui vengono utilizzate queste tipologie di software. Infatti, nel momento stesso in cui si prende possesso del device del soggetto investigato, vi sarebbe la teorica possibilità di inserire o formare delle prove che possono dimostrare la tesi accusatoria. Tale tesi non è stata presa in considerazione dal Tribunale nel caso di specie, benché non si possa escludere che nel prossimo futuro sia ipotizzabile che vengano invece accettate delle eccezioni della difesa basate sulla dottrina statunitense del “Fruit of the poisoness tree”. Tale tesi è contrapposta a quella più europea e che segue il principio “Mala captum, bene retentum” in forza del quale una prova anche se acquisita in violazione di legge, può essere utilizzata dal giudice per le sue valutazioni in relazione alla colpevolezza del soggetto.
Quale che sia il futuro della giurisprudenza è difficile prevederlo, ma è un dato di fatto che questo nuovo strumento investigativo sarà oggetto, nei prossimi anni, di approfondite analisi da parte dei giudici di tutto il mondo.
Gli effetti del caso Hacking Team
Il leak di Hacking team ha fatto emergere numerose criticità in termini di sicurezza informatica, in quanto non solo ha permesso di rivelare al mondo le email e i documenti privati della società e dei suoi clienti, ma anche di diffondere on line lo stesso prodotto, ossia il codice sorgente del software RCS Galileo che è stato prontamente scaricato dai cyber criminali di tutto il mondo per utilizzi –ovviamente- illeciti.
I laboratori Trend Micro, analizzando l’enorme quantità di informazioni trafugate ad Hacking Team, hanno scoperto una falsa app di news creata per oltrepassare i filtri di Google Play. L’app era già stata scaricata una cinquantina di volte prima di essere rimossa il 7 luglio.
L’app era stata battezzata BeNews, per sfruttare la credibilità dell’oramai non più funzionante sito di notizie BeNews, ma in realtà era una vera e propria backdoor. Nei file trafugati di Hacking Team sono stati trovati i codici sorgente e le istruzioni per formare i clienti all’utilizzo di questa app.
Gli effetti dell’hackeraggio sono addirittura arrivati in Cina. Secondo quanto ha riferito il South China Morning Post, ben due gruppi di hacker operativi nel Paese asiatico avrebbero usato gli strumenti messi in rete dopo l’attacco informatico alla società milanese per sferrare attacchi cyber-criminali. In particolare gli hacker avrebbero approfittato di alcune falle del programma Flash di Adobe per colpire specifici settori, dalle telecomunicazioni all’aerospazio, dalla difesa all’energia.
Dopo l’allarme lanciato da esperti di security, che consigliavano di disinstallare Flash, e la decisione di Mozilla e Chrome di disabilitare il media player, Adobe è corsa ai ripari. La società ha rilasciato un aggiornamento per il programma destinato agli utenti Windows, Mac e Linux.
Nel leak reso pubblico si trovava anche un esempio pratico di un exploit 0-day multipiattaforma di Flash (CVE numero CVE-2015-5119) innescato dall’avvio di una calcolatrice di Windows da una pagina web di prova. Non appena gli exploit sono stati “patchati”, i ricercatori e le società di sicurezza si sono accorti che già molte suite di hackeraggio si erano aggiornate per sfruttare le nuove vulnerabilità e, addirittura, tramite un’analisi del traffico, che la Corea del Sud ed il Giappone avevano subito attacchi di spear phishing ai loro sistemi da parte di ignoti sfruttando quel sistema.
I programmi singolarmente, come RCS Galileo, sono stati resi inutili dall’intervento dei programmatori che hanno chiuso le vulnerabilità che sfruttavano, ma facendone una dissezione per un criminale attento si possono trovare spunti per programmare nuovi malware. Un esempio è il Rootkit per il BIOS UEFI (Unified Extensible Firmware Interface) trovato all’interno di RCS Galileo dai ricercatori di Trend Micro, che permette al programma di rimanere installato nei sistemi bersaglio anche se viene reinstallato il sistema operativo o se viene formattata la memoria, o, addirittura, se il disco rigido viene sostituito.
Nell’estate 2016 gli esperti di Blue Coat Labs hanno scoperto un attacco che sfrutta i codici exploit capaci di far leva su un paio di vulnerabilità critiche a suo tempo scoperte nelle versioni remote di Android 4.0, 4.1 e 4.3 ("Ice Cream Sandwich" e "Jelly Bean").
In particolare, il codice exploit conosciuto come “lbxsl”, risulta tra quelli sottratti ad Hacking Team e pubblicati nel 2015.
(...)
Fonte: Agendadigitale.eu