Fallet och uppkomsten av ett spionprogramimperium

Stad

Spionprogrammet var tänkt att vara osynligt och omöjligt att spåra. Istället greps och avslöjades företaget.

När det var ett decennium gammalt 2014 hade det italienska företaget Hacking Team en världsomspännande verksamhet inom övervakning. Dess avancerade övervakningsteknik, kallad Remote Control System (RCS), såldes till regeringar inklusive några av världens mest ökända diktaturer. Det användes för att i smyg stjäla data från alla som kunden riktade sig mot. När forskare äntligen började avslöja Hacking Teams aktiviteter inkluderade mållistan människorättsaktivister och journalister.

2015 slog hackare till Hacking Team. Data på totalt över 400 gigabyte, inklusive e-post, fakturor och källkod, släpptes offentligt. Företagets eget Twitter-konto, som självt hackats, utbasunerade intrånget.

Till allmänheten företaget möjliggjorde repressiva regimer . För branschkollegor var det ett hackföretag som blev hackat. Kunderna började hålla sig borta, och även studenter var försiktiga med att arbeta för det.

Nästan fem år senare hoppas Paolo Lezzi kunna återuppliva den skamliga outfiten och göra katastrofen tillbaka till en lönsam verksamhet.

Den nya regimen

Jag träffade Lezzi förra veckan på en högteknologisk försvars- och militärmässa i Paris. Det har gått knappt ett år sedan han köpte Hacking Team, bytte namn, kombinerade det med sitt eget företag och satte igång med uppgiften att ta tillbaka den en gång mäktiga verksamheten från de döda.

Min första fråga var en självklar fråga för chefen för ett spionprogramsföretag kopplat till repressiva regimer.

Hur säkerställer du att det inte förekommer några övergrepp? Jag frågade.

Lezzi andades långsamt när han funderade på frågan. Han tittade upp och pekade på en skärm med maskingevär bara några meter bort från där vi pratade.

Varför ställer alla oss den här frågan, men ingen ställer den frågan? sa han och höjde på ögonbrynen.

Lezzi är ägare till Memento Labs och dess moderbolag, InTheCyber. Memento Labs bildades i mars när Lezzi förvärvat Hacking Team.

Memento Labs marknadsför sina produkter till potentiella kunder. Foto: Patrick Howell O'Neill

Det förvärvet drog ihop de återstående Hacking Team-ingenjörerna och forsknings- och utvecklingsteamet från InTheCyber. Företaget antog sitt nya, mer lågprofilerade namn och började bygga om. I år gjorde den sin offentliga debut på de stora övervakningsbranschens konferenser ISS World i Prag och Milipol i Paris, där jag hittade honom.

Vi har gjort om helt, sa Lezzi. Vi utvecklar de bästa möjliga verktygen för att stödja brottsbekämpning.

Omöjligt att avslöja

Memento Labs (Slogan: Hunting in the dark) säljer en mängd imponerande snoopverktyg.

Dess KRAIT-produkt låter någon attackera vilken Android-enhet som helst och inte lämna några spår, och tar över enheten för att övervaka den utan att målet krävs.

Företaget tillhandahåller vad det kallar ett pålitligt implantat för att få KRAIT på målets enhet, vilket innebär att skadlig programvara kommer att levereras från vad som för offret ser ut som en känd källa. Det är en tjänst som gör den sociala ingenjörskampanjen enkel. KRAIT är en liten agent och gömmer sig i legitima applikationer.

KRAIT kan stjäla lösenord från målet. Det kan också lansera hur många dyra exploateringar som helst, de högt värderade och ständigt föränderliga verktygen som drar fördel av digitala säkerhetssårbarheter för att glida in i programvaran och ta kontroll. Kommunikationen mellan KRAIT och angriparens kommando- och kontrollservrar kamoufleras genom att gå genom pålitliga onlinetjänster och appar.

Nyttolaster lagras aldrig på målenheterna, säger företaget, vilket gör det nästan omöjligt att avslöja existensen av agenten och dess kapacitet.

När KRAIT tar över din telefon är det inte längre din telefon. Enhetens platsdata, mikrofon, kamera, samtal, adressbok, filsystem, textmeddelanden och mer tillhör nu hackaren som köpte KRAIT.

Det som är särskilt oroande är att produkter som KRAIT är utformade för att tyst infektera och osynligt övervaka även 'paranoida mål' som kan ha en hög nivå av digital säkerhetsmedvetenhet, säger Bill Marczak, en forskare vid University of Torontos Citizen Lab som ledde tidig forskning om Hacking Team.

Dessa produkter är en match made in heaven för människorättsöverträdare, som letar efter verktyg för att attackera ett alltmer vaksamt civilsamhälle.

Huvudevenemanget

Mementos flaggskeppsprodukt, RCS X, är den senaste versionen av RCS, det mycket effektiva spionprogram som 2012 var upptäckt att användas mot journalister och människorättsaktivister i hela arabvärlden och i Washington, DC. Citizen Lab har identifierat andra statliga användare av RCS, inklusive auktoritära regimer från Egypten och Etiopien till Saudiarabien och Sudan. Det har varit upptäcks i det vilda så sent som förra året.

Resultatet av 15 års utveckling erbjuder RCS X osynlig infektion av 99 % av de mest använda plattformarna i världen, inklusive macOS, Linux, Android, iOS och BlackBerry. Verktyget infekterar valfritt antal mål genom användning av utnyttjade säkerhetsbrister. En konsol kan hantera alla infektioner och samla in krypterad och kryptografiskt signerad data från applikationer, kalendrar, meddelanden, lösenord och mer.

Med RCS X kan en hackare styra mikrofonen och kameran, ta skärmdumpar och i slutändan få fullständig kontroll över en riktad maskin.

Spionprogrammet har en lång historia av framgångsrik försäljning och användning – även om användningar som i många fall fångades upp, trots löften om osynlighet, och som slutade med att bidra till Hacking Teams bortgång. Det kommer att vara nyckeln till all framtida framgång för Memento Labs.

Snabbare än lagen

Memento kommer endast att sälja till officiella brottsbekämpande myndigheter, underrättelsetjänster och militärer. Företaget ber om och kräver tillstånd från italienska exportmyndigheter – samma myndigheter som återkallas Hacking Teams globala licens 2016 efter att bevis dykt upp på att produkten användes i länder som Sudan, Saudiarabien och Egypten och kopplades till brott mot mänskliga rättigheter.

Men de lagar som styr branschen är inte tillräckligt bra, säger Marietje Schaake, tidigare ledamot av EU-parlamentet som gång på gång larmade om övervakningsteknik som byggs och säljs i Europa. Hon snubblade först över verktygen under den arabiska våren, en prodemokratisk rörelse i Mellanöstern, när Hacking Team var inblandat i att sälja spionprogram som RCS till den egyptiska diktaturen.

Jag blev inte förvånad över att diktatorer skulle göra vad som helst för att behålla greppet om makten, säger Schaake. Jag blev förvånad över att dessa verktyg kom från demokratier.

Schaakes decennielånga karriär inom EU:s lagstiftande gren präglades av ansträngningar för att öka den juridiska ansvarsskyldigheten och transparensen inom övervakningsbranschen för att förhindra de typer av övergrepp som gjorde Hacking Team känt.

Tekniken gick snabbare än lagar, säger hon. Alla lagar som styr export kom förr från säkerhetsområdet. Det fanns inte en komponent för mänskliga rättigheter förrän efter händelser som den arabiska våren och mordet på Jamal Khashoggi. Särskilt Italien drar med fötterna – de är alltid emot restriktioner och sanktioner. De skulle hellre vara 'pragmatiska'.

Lezzi säger att Memento Labs nu tar ett tekniskt steg för att undvika missbruk: företaget begränsar antalet programvaruagenter som säljs till regeringar. Det är agenten som kan spionera på och kontrollera en maskin.

Om du säljer tusentals agenter kan det vara så att det inte är till för brottsbekämpande myndigheter, förklarar Lezzi och påpekar att vissa industrikonkurrenter säljer exakt den sortens enorma och urskillningslösa spionkapacitet. Han, å andra sidan, begränsar antalet sålda medel så att Memento-teknologin begränsas till 25 eller 50 infektioner. Det är omöjligt att gå emot mänskliga rättigheter med bara 50 agenter, säger han.

Det finns dock inget sätt för Memento att direkt upptäcka missbruk av regeringar som använder dess övervakningsverktyg, och därför ligger den slutliga användningen av spionprogrammet utanför Lezzis kontroll.

Bill Marczak är skeptisk till att Memento Labs skyddsåtgärder kommer att fungera, och pekar på ett fall från 2014 där den etiopiska regeringen använde Hacking Teams spionprogram för att rikta in sig på journalister. Etiopiens regering hade inga problem att gå efter journalister och oppositionsgrupper med de 50 agenter som såldes av Mementos föregångare, Hacking Team, säger han.

Faktum är att det nya reklammaterialet för RCS X också lovar att RCS-agenter kan användas ett obegränsat antal gånger, vilket möjliggör maximal mångsidighet i undersökningar – och, som det verkar, få gränser för omfattningen.

Ombyggnad

Memento står inför en kamp i uppförsbacke, inte bara när det gäller att reformera sitt rykte utan för att återigen få fotfäste på marknaden. Övervakningsbranschen har många mycket kapabla konkurrenter. Särskilt israeliska företag banar nya spår tekniskt och politiskt. Det är inte lätt att konkurrera med en övervakningsindustrijätte lika stor som Israels NSO Group.

Återigen, branschen blomstrar: det har aldrig funnits så många övervaknings- och spionprogramprodukter till försäljning som det var vid årets Milipol-konferens. Om det finns fler industrikonkurrenter finns det också mer pengar och större efterfrågan från länder runt om i världen.

De flesta länder saknar den massiva budgeten och spetskapaciteten hos amerikanska underrättelsetjänster. Memento Labs hoppas kunna bygga en lukrativ verksamhet genom att göra skillnaden för medelstora nationer som vill förverkliga ambitioner i cyberrymden till ett billigt pris. Huruvida företaget kan undvika de katastrofer som dömde dess föregångare är en helt annan fråga.

Dölj