Известный поставщик шпионского и хакерского ПО для спецслужб и правоохранительных органов самых разных стран — итальянская компания Hacking Team подверглась атаке. В результате взлома в сеть попал архив объемом более 400 Гб, содержащий информацию о деятельности компании, клиентах Hacking Team и даже исходные коды некоторых продуктов. 

Неизвестные хакеры выложили украденные данные в виде torrent-файла. После начала анализа огромного архива стало ясно, что он содержит полный список настоящих и бывших клиентов компании, личную переписку сотрудников, финансовые отчеты и многое другое. О деятельности Hacking Team известно давно. Публиковались отчеты с перечислением того, что конкретно они продают. Фирму основали двое итальянских программистов, создателей свободной программы Ettercap для MiTM-атак. Теперь весь мир может насладиться исчерпывающей информацией о деятельности Hacking Team.

Эффект от взлома Hacking Team был мгновенный. Сразу после публикации документов в воскресенье вечером 5 июля 2015 года компания не только прекратила продажи, но и рекомендовала всем клиентам приостановить использование шпионских программ собственной разработки. На сайте было размещено объявление о найме новых сотрудников. Фактически, компания полностью перешла в «аварийный» режим работы.

CEO Hacking Team Давид Винченцетти

Проблема очень серьезная, потому что «утекший» исходный код шпионских программ позволяет жертвам слежки легко обнаружить их на своих мобильных телефонах и компьютерах. Их должны включить в антивирусные базы данных и использовать для отслеживания трафика к серверам Hacking Team, а также должны закрыть 0-day уязвимости, которые применяла Hacking Team. Это тотальный крах.

Политические последствия грозят быть ещё хуже. Прямо с серверов компании получен точный и полный список клиентов. Теперь эти госслужбы не смогут отрицать свою причастность. Согласно содержащимся в архиве данным, на конец июня 2015 года клиентами Hacking Team являлись правительственные организации из 36 стран мира. Среди них фигурируют, в том числе, Азербайджан, Казахстан, Узбекистан и Россия. Россия и Судан проходят в документах с интересной пометкой «not officially supported», то есть «официально не поддерживается».

В списках клиентов компании можно обнаружить ФБР, вооруженные силы Ливана, министерство обороны Египта и многих других. Интересно, что в списках значатся также Ливан, Оман, Саудовская Аравия, Юная Корея и прочие страны, контакты и сотрудничество с которыми Hacking Team рьяно отрицали. К примеру, власти Эфиопии использовали ПО Hacking Team  для слежки за журналистами и оппозицией, что определенно не красит ни власти Эфиопии, ни поставщиков данного софта.

На GitHub уже засветились исходные коды некоторых продуктов и инструментов Hacking Team. Практически все продукты компании, это RCS (Remote Control System), то есть софт предназначенный для шпионажа и взлома, всевозможные руткиты, кейлоггеры и так далее. В частности, известен руткит Da Vinci, способный перехватывать нажатия клавиш, сообщения в популярных мессенджерах, записывать разговоры через VoIP-сервисы, делать снимки экрана и удаленно подключаться в веб-камерам и микрофонам пользователей.

Стоит сказать, что одной только публикацией архива и взломом самой компании дело не обошлось. Неизвестные также взломали официальный твиттер Hacking Team и успели вволю поглумиться, публикуя твиты вроде: «Так как нам нечего скрывать, мы публикуем наши email, файлы и исходные коды».

На текущий день информация о новых 0day, эксплоитах и других угрозах, вызванных масштабной утечкой данных компании Hacking Team, появляется в буквальном смысле каждый день. Забеспокоились уже не только крупные компании, которые едва успевают выпускать экстренные патчи, но и простые пользователи. Стоит сказать, беспокойство пользователей и компаний не напрасно. Уже найдены руткит, способный пережить даже смену HDD, Android-приложение, успешно прошедшее все проверки Google Play, а также различные эксплоиты и другая малварь, авторства Hacking Team. Атаки с применением этих инструментов вряд ли заставят себя долго ждать. Так эксперты компании FireEye выявили, что эксплоиты для 0day уязвимостей в Adobe Flash, которые использовали Hacking Team, в Японии задействовали для атак на местные компании.

Точно известно, что пострадали сайты ассоциации International Hospitality and Conference Service Association и косметической компании Cosmetech. На оба ресурса, с помощью эксплоита, поместили малварь известную как SOGU (довольно распространенный на Востоке бекдор). Притом FireEye заявляют, что образец SOGU, использованный в этой атаке, был скомпилирован 13 июля и замаскирован под файлы, принадлежащие Trend Micro. Напомню, что Adobe выпустила соответственный патч 14 июля. То есть хакеры успели раньше, по словам представителей FireEye, атака длилась почти два дня.

Накануне выхода Windows 10, компания Microsoft была вынуждена выпустить внеплановое, срочное обновление, затронувшее почти все семейство Windows, включая грядущую «десятку». Патч закрыл критическую уязвимость, связанную с обработкой шрифтов OpenType и библиотекой Windows Adobe Type Manager Library (ATMFD.dll). Информация об опасном баге обнаружилась среди данных, украденных у компании Hacking Team.

Не обошлось также и без невинно-пострадавших. Исследователь Коллин Маллинер (Collin Mulliner), известный среди специалистов ИБ, как человек, великолепно разбирающийся в безопасности мобильных устройств, был голословно обвинен в том, что он якобы работал на компанию Hacking Team и создавал для них малвари. Маллинер с огромным удивлением обнаружил, что Hacking Team использовала его код, как фундамент для строительства инструментов для Android-слежки. Стоит ли говорить, что Hacking Team никогда не уведомляла исследователя, что использует его наработки для создания малвари, которую потом продает правительствам?

На днях Маллинер написал в своем блоге гневный пост, обнаружив, что его инструменты (способные, помимо прочего, скрыто перехватывать телефонные разговоры и другие звуки в пределах слышимости с инфицированных Android аппаратов), безо всякого на то разрешения, использовались компанией Hacking Team. На Wikileaks даже нашлась внутренняя переписка сотрудников Hacking Team, которые обсуждают разработки Маллинера.

Исследователь узнал о происходящем не самым приятным образом – кто-то, покопавшись в документах Hacking Team, сделал неверные выводы, и на Маллинера посыпались гневные письма с обвинениями. Ложное впечатление у людей сложилось в силу того, что в репозитории Hacking Team содержатся не только разработки Маллинера, но и его имя, адрес сайта и email.

Коллин Маллинер (Collin Mulliner)

Сам исследователь пишет в блоге:

«Я очень зол и расстроен тем, что мои open source решения использовались Hacking Team для создания шпионского ПО для слежки за активистами. Еще хуже тот факт, что из-за отвратительного менеджмента их репозитория у людей действительно может сложиться впечатление, что я разработал некоторые инструменты специально для Hacking Team. Позвольте мне прояснить раз и навсегда: я не писал для Hacking Team никаких инструментов. В будущем я стану лицензировать свои продукты, чтобы исключить их использование подобным образом».

Стоит отметить, что Маллинер – не единственный пострадавший такого рода. Ранее на этой неделе компания Netragard объявила, что более не собирается продавать эксплоиты и 0day. Такое решение руководство компании приняло, обнаружив, что некоторые экплоиты в руках Hacking Team использовались совершенно неэтичным образом.

Подводя итог, можно с уверенностью заявить, что в ближайшем будущем шумиха вокруг компании Hacking Team не утихнет. Сообщения о новых уязвимостях обнаруженных в архивах компании будут будоражить IT-сообщество с завидной регулярностью. К сожалению, сейчас чувствовать себя стопроцентно защищенным уже невозможно. Хакеры добираются до наших компьютеров, телефонов, автомобилей, умных домов, телевизоров и даже до холодильников (в 2014 году была обнаружена крупная ботсеть в состав которой входили холодильники работающие на embedded-версиях Linux). Поэтому, лично я, с содраганием читаю новости о всех новомодных тененденциях, например по управлению своим автомобилем через мобильный телефон, потому что сразу представляю себе ситуацию при которой эти модные фичи могут восстать против тебя по воле хакеров. Будьте бдительны и осторожны.

По материалам сайта Хакер