La caída y el ascenso de un imperio de software espía

Ciudad

Se suponía que el spyware era invisible e imposible de rastrear. En cambio, la empresa fue atrapada y expuesta.

Cuando cumplió una década en 2014, la empresa italiana Hacking Team tenía un negocio mundial en vigilancia. Su avanzada tecnología de vigilancia, llamada Sistema de control remoto (RCS), se vendió a gobiernos, incluidas algunas de las dictaduras más notorias del mundo. Se utilizó para robar datos de forma subrepticia de cualquier persona a la que apuntara el cliente. Cuando los investigadores finalmente comenzaron a descubrir las actividades de Hacking Team, la lista de objetivos incluía activistas de derechos humanos y periodistas.

En 2015, los piratas informáticos atacaron Hacking Team. Se publicaron datos por un total de más de 400 gigabytes, incluidos correos electrónicos, facturas y código fuente. La propia cuenta de Twitter de la empresa, pirateada, anunció la violación.

Para el público, el la empresa habilitó regímenes represivos . Para los colegas de la industria, fue una empresa de piratería la que fue pirateada. Los clientes comenzaron a mantenerse alejados, e incluso los estudiantes desconfiaban de trabajar para ello.

Casi cinco años después, Paolo Lezzi espera revivir el equipo en desgracia, convirtiendo el desastre en un negocio rentable.

el nuevo régimen

Conocí a Lezzi la semana pasada en una feria militar y de defensa de alta tecnología en París. Ha pasado poco menos de un año desde que compró Hacking Team, cambió el nombre, lo combinó con su propia empresa y se dedicó a la tarea de resucitar el otrora poderoso negocio.

Mi primera pregunta era obvia para el jefe de una empresa de spyware vinculada a regímenes represivos.

¿Cómo se asegura de que no haya abuso? Yo pregunté.

Lezzi inhaló lentamente mientras consideraba la pregunta. Levantó la vista y señaló una exhibición de ametralladoras a unos pocos pies de distancia de donde hablábamos.

¿Por qué todos nos hacen esta pregunta, pero nadie les hace esa pregunta? dijo, levantando las cejas.

Lezzi es propietaria de Memento Labs y su empresa matriz, InTheCyber. Memento Labs se formó en marzo cuando Lezzi adquirido Equipo de hackeo.

Memento Labs anuncia sus productos a clientes potenciales. Foto: Patrick Howell O'Neill

Esa adquisición reunió a los ingenieros restantes del Hacking Team y al equipo de investigación y desarrollo de InTheCyber. La empresa adoptó su nuevo nombre de perfil más bajo y comenzó la reconstrucción. Este año hizo su debut público en las principales conferencias de la industria de la vigilancia ISS World en Praga y Milipol en París, donde lo encontré.

Lo hemos rediseñado por completo, dijo Lezzi. Estamos desarrollando las mejores herramientas posibles para apoyar la aplicación de la ley.

Imposible de descubrir

Memento Labs (Slogan: Hunting in the dark) vende una variedad de impresionantes herramientas de espionaje.

Su producto KRAIT permite que alguien ataque cualquier dispositivo Android y no deje rastros, apoderándose del dispositivo para vigilarlo sin que el objetivo requiera ninguna acción.

La compañía proporciona lo que llama un implante confiable para llevar KRAIT al dispositivo del objetivo, lo que significa que el malware se entregará desde lo que a la víctima le parece una fuente conocida. Es un servicio que facilita la campaña de ingeniería social. KRAIT es un pequeño agente y se esconde dentro de aplicaciones legítimas.

KRAIT puede robar contraseñas del objetivo. También puede lanzar cualquier cantidad de exploits costosos, las herramientas altamente valoradas y en constante cambio que aprovechan las vulnerabilidades de seguridad digital para colarse dentro del software y tomar el control. Las comunicaciones entre KRAIT y los servidores de comando y control del atacante se camuflan moviéndose a través de aplicaciones y servicios en línea confiables.

Las cargas útiles nunca se almacenan en los dispositivos de destino, dice la compañía, lo que hace que sea casi imposible descubrir la existencia del agente y sus capacidades.

Cuando KRAIT se hace cargo de su teléfono, ya no es su teléfono. Los datos de ubicación del dispositivo, el micrófono, la cámara, las llamadas, la libreta de direcciones, el sistema de archivos, los mensajes de texto y más ahora pertenecen al hacker que compró KRAIT.

Lo que es particularmente preocupante es que productos como KRAIT están diseñados para infectar silenciosamente y vigilar de manera invisible incluso a 'objetivos paranoicos' que podrían tener un alto nivel de conciencia de seguridad digital, dice Bill Marczak, investigador del Citizen Lab de la Universidad de Toronto que dirigió la investigación inicial sobre Equipo de hackeo.

Estos productos son una combinación perfecta para los violadores de los derechos humanos, que buscan herramientas para atacar a una sociedad civil cada vez más vigilante.

El evento principal

El producto estrella de Memento, RCS X, es la última versión de RCS, el spyware altamente efectivo que en 2012 fue descubierto estar en uso contra periodistas y activistas de derechos humanos en todo el mundo árabe y en Washington, DC. Citizen Lab ha identificado otros usuarios gubernamentales de RCS, incluidos regímenes autoritarios desde Egipto y Etiopía hasta Arabia Saudita y Sudán. Ha sido visto en la naturaleza tan recientemente como el año pasado.

El resultado de 15 años de desarrollo, RCS X ofrece una infección invisible del 99% de las plataformas más utilizadas en el mundo, incluidas macOS, Linux, Android, iOS y BlackBerry. La herramienta infecta cualquier número de objetivos mediante el uso de vulnerabilidades de seguridad explotadas. Una consola puede administrar todas las infecciones y recopilar datos cifrados y firmados criptográficamente de aplicaciones, calendarios, mensajes, contraseñas y más.

Con RCS X, un pirata informático puede controlar el micrófono y la cámara, tomar capturas de pantalla y, en última instancia, obtener el control completo de una máquina objetivo.

El spyware tiene una larga historia de ventas y usos exitosos, aunque en muchos casos se detectaron, a pesar de las promesas de invisibilidad, y terminaron contribuyendo a la desaparición de Hacking Team. Será clave para cualquier éxito futuro de Memento Labs.

Más rápido que la ley

Memento se venderá solo a las fuerzas del orden oficiales, agencias de inteligencia y militares. La empresa solicita y requiere permiso de las autoridades de exportación italianas, las mismas autoridades que revocado La licencia global de Hacking Team en 2016 después de que surgieran pruebas de que el producto se usaba en países como Sudán, Arabia Saudita y Egipto y estaba relacionado con abusos contra los derechos humanos.

Pero las leyes que rigen la industria no son lo suficientemente buenas, dice Marietje Schaake, ex miembro del Parlamento Europeo que repetidamente alertó sobre la construcción y venta de tecnología de vigilancia en Europa. Primero se topó con las herramientas durante la Primavera Árabe, un movimiento a favor de la democracia en el Medio Oriente, cuando Hacking Team estuvo implicado en la venta de software espía como RCS a la dictadura egipcia.

No me sorprendió que los dictadores hicieran cualquier cosa para mantener el control del poder, dice Schaake. Me sorprendió que estas herramientas vinieran de las democracias.

La carrera de una década de Schaake en el poder legislativo de la UE estuvo marcada por los esfuerzos para aumentar la responsabilidad legal y la transparencia en la industria de la vigilancia para prevenir los tipos de abusos que hicieron famoso a Hacking Team.

La tecnología se movió más rápido que las leyes, dice ella. Todas las leyes que regían las exportaciones venían del campo de la seguridad. No hubo un componente de derechos humanos hasta después de eventos como la Primavera Árabe y el asesinato de Jamal Khashoggi. Italia, en particular, arrastra los pies: siempre están en contra de las restricciones y sanciones. Preferirían ser 'pragmáticos'.

Lezzi dice que Memento Labs ahora da un paso técnico para evitar el abuso: la compañía limita la cantidad de agentes de software vendidos a los gobiernos. Es el agente que puede espiar y controlar una máquina.

Si vende miles de agentes, podría ser que no sea para hacer cumplir la ley, explica Lezzi, señalando que algunos competidores de la industria venden exactamente ese tipo de capacidad de espionaje vasta e indiscriminada. Él, en cambio, limita el número de agentes vendidos para que la tecnología Memento se limite a 25 o 50 contagios. Es imposible ir en contra de los derechos humanos con solo 50 agentes, dice.

Sin embargo, Memento no tiene forma de detectar directamente el abuso por parte de los gobiernos que utilizan sus herramientas de vigilancia, por lo que el uso final del spyware está fuera del control de Lezzi.

Bill Marczak se muestra escéptico de que las medidas de seguridad de Memento Labs funcionen y señala un caso de 2014 en el que el gobierno etíope usó el software espía de Hacking Team para atacar a periodistas. El gobierno de Etiopía no tuvo problemas para perseguir a los periodistas y grupos de oposición con los 50 agentes vendidos por el predecesor de Memento, Hacking Team, dice.

De hecho, el nuevo material publicitario para RCS X también promete que los RCS Agents se pueden usar un número ilimitado de veces, lo que permite la máxima versatilidad en las investigaciones y, al parecer, pocos límites en el alcance.

Reconstrucción

Memento se enfrenta a una batalla cuesta arriba, no solo para reformar su reputación, sino también para volver a afianzarse en el mercado. La industria de la vigilancia tiene muchos competidores altamente capaces. Las empresas israelíes en particular están abriendo nuevos caminos tecnológica y políticamente. No es fácil competir con un gigante de la industria de la vigilancia del tamaño del Grupo NSO de Israel.

Por otra parte, la industria está en auge: nunca ha habido tantos productos de vigilancia y spyware a la venta como en la conferencia de Milipol de este año. Si hay más competidores en la industria, también hay más dinero y una mayor demanda de países de todo el mundo.

La mayoría de los países carecen del presupuesto masivo y las capacidades de vanguardia de las agencias de inteligencia estadounidenses. Memento Labs espera construir un negocio lucrativo compensando la diferencia para las naciones medianas que quieren hacer realidad sus ambiciones en el ciberespacio a bajo precio. Si la empresa puede evitar las catástrofes que condenaron a su predecesor es otra cuestión completamente diferente.

esconder