27 agosto 2015

Cómo Hacking Team creó software espía que le permitía vigilar el navegador Tor por Micah Lee (The Intercept)

How Hacking Team Created Spyware that Allowed the FBI To Monitor Tor Browser 
por Micah Lee (The Intercept)
Cómo Hacking Team creó software espía que le permitía vigilar el navegador Tor
«En julio de 2012, el contratista del FBI Pradeep Lal entró en contacto con el departamento de atención al cliente de la empresa italiana Hacking Team, un fabricante de software espía para la policía y las agencias de inteligencia de todo el mundo. Lal necesitaba ayuda; había utilizado el software de Hacking Team para entrar y espiar el ordenador de un objetivo de investigación, pero el seguimiento no estaba funcionando como Lal había esperado. Recibía información de las direcciones que el objetivo visitaba mientras usaba navegadores web normales, pero no cuando su objetivo utilizaba el navegador Tor, un software diseñado para enmascarar la navegación web sensible.

Lal describió su problema de forma sucinta, quejándose en el sitio web de clientes de Hacking Team de que el "colector de URL" de la compañía "no recoge el tráfico web en el navegador TOR", de acuerdo a los numerosos correos electrónicos y otros documentos obtenidos recientemente por uno o varios piratas informáticos. Luego esbozó los pasos que alguien debería seguir para reproducir el problema que se encontró con el software espía de Hacking Team: 
"descargar el paquete del navegador TOR. Navegar con el navegador TOR. Infectar el objetivo con agente colector de www habilitado. El tráfico de www no se recoge cuando el objetivo navega con el navegador TOR."
El personal de apoyo de Hacking Team respondió al día siguiente, escribiendo, "Desde nuestra perspectiva el tbb [paquete del navegador Tor] es sólo un complemento de Firefox hecho a medida, lo consideraremos para futuras versiones." Menos de dos semanas más tarde le dijeron a Lal que la función que solicitaba estaba en obras: "Estimado Cliente, la próxima versión de RCS [Sistema de Control remoto] (8.2.0) capturará URL del navegador TOR. Gracias ". (Un correo de abril de 2013 lamenta la partida de Lal del FBI.) 
Hacking Team, a petición del FBI, acababa de añadir la capacidad de espiar el tráfico aparentemente anónimo del navegador Tor de un objetivo infectado con el software espía de Hacking Team. La capacidad de vigilancia del navegador Tor no representaba una violación de la red Tor, que rebota el tráfico de Internet por todo el mundo para ocultar su destino. Es imposible para ningún software de seguridad, incluyendo el navegador Tor, proteger a alguien después de que su ordenador haya sido hackeado. Pero el incidente sirve como un recordatorio del gran interés del gobierno en eludir las protecciones que Tor -y de lo vulnerables que pueden llegar a ser los usuarios de ordenadores incluso cuando se usan sistemas de privacidad probados y seguros.
Tor es, a todas luces, un sistema de este tipo. Tor no es sólo una red de computadoras, también es el software de código abierto con el que funciona esa red, ayudando a las personas acceder a Internet de forma anónima. Cuando alguien usa el navegador Tor, ya no visita directamente sitios web, sino que lo hace a través de una red de nodos Tor. Esto evita que los sitios web que se visitan conozcan la verdadera dirección IP, la información que se puede utilizar para determinar la ubicación e identidad. Con Tor, todo lo que un sitio web sabe es que alguien es un usuario anónimo Tor. Incluso si se espía el tráfico de la red -crackeando la wifi, por ejemplo- no se tendrá ninguna idea de los sitios que se están visitando. 
(Revelación:. El Proyecto Tor, que ayuda a desarrollar Tor y el navegador Tor, ha recibido dinero de la Freedom of the Press Fundation, a cuya junta directiva pertenezcoTambién ha recibido dinero de la Fundación Omidyar, co-fundada por Pierre Omidyar, que financia la empresa matriz de The InterceptFirst Look Media.)
El navegador Tor, por un tiempo, frustró los esfuerzos del producto insignia de Hacking Team, Sistema de Control Remoto (RCS), que normalmente permite a un operador, entre otras formas de vigilancia, espiar todo el tráfico de la red que sale de un ordenador hackeado e informar a su cliente de la lista de direcciones web que el objetivo visitó. Tal espionaje web no funcionó inicialmente en el navegador Tor. Todo lo que RCS podía ver era el tráfico encriptado que va por la red Tor -básicamente información inútil. Espiar el tráfico Tor requeriría más esfuerzo.
Hacking Team describe cómo se resolvió el problema en una presentación de PowerPoint, presumiendo que, "Nuestra solución es la única manera de interceptar el tráfico de TOR al momento." 
Cuando un usuario abre el navegador Torsu equipo se inicia con el programa Tor ejecutándose en segundo plano, y en primer plano se abre una versión modificada de Firefox que está configurada para forzar que todo el tráfico pase por el programa Tor. La solución fue modificar el navegador Tor en un ordenador hackeado para obligar a la totalidad de su tráfico a ir a través de un servidor exterior que el atacante controla, en lugar de la proporcionada por el programa Tor. Cuando el usuario hackeado carga una página en el navegador Tor, el software espía es capaz de accede al tráfico antes de que se traspase a la red Tor para ser convertido en datos anónimos. La semana pasada el Proyecto Tor publicó su breve análisis de esta capacidad. 
Pero Hacking Team no tenía ninguna capacidad en contra de la propia red Tor; sólo podía espiar a la gente, si su equipo ya estaba infectado por software espía de Hacking Team. Esto se puso de manifiesto en una serie de comunicaciones del servicio de atención al cliente (1, 2, 3, 4, 5, 6) con el agente del FBI John Solano a partir de septiembre de 2014, dos años después de que la función de vigilancia de Tor fuera añadida al software Hacking Team. Solano quería averiguar la dirección IP real de un blanco blindado por la red Tor, pero aún no había hackeado su objetivo.
"Vamos a necesitar enviarle un correo electrónico con un documento o pdf adunto [sic] para instalar el explorador (scout)," Solano escribió más tarde, después de algunas idas y venidas con los representantes de Hacking Team. 
No está claro a partir del ticket de solicitud de ayuda si Solano llegó a hackear con éxito el equipo de su objetivo con el software espía de Hacking Team. Lo que está claro es que, a partir de finales de 2014, el FBI peleaba para encontrar la manera de desanonimizar a un usuario Tor. 
En otra asistencia a un cliente de Hacking Team, un gobierno trata de usar la red Tor en vez de crackearla. El mes pasado, un usuario llamado "devilangel", que trabaja para el Ejército de Corea del Sur, contactó con Hacking Team tratando de solucionar problemas para ingresar en el sitio web de soporte del navegador Tor. El sitio Web de soporte requiere que los clientes accedan al sistema no sólo con un nombre de usuario y contraseña, sino también con un certificado de cifrado. Este certificado debe ser instalado en un navegador web, y devilangel estaba teniendo problemas para hacer eso en el navegador Tor. "Estamos utilizando los certificados para la comunicación segura usando el portal de asistencia", escribió devilangel. "Con el reciente firefox, ya sabes, el navegador Tor (v4.5.x) parece no soportar PKCS # 12 (*. P12)", un formato de archivo utilizado para agrupar certificados de cifrado. 
No está claro exactamente por qué el Ejército de Corea del Sur quería usar el navegador Tor para interactuar con Hacking Team. Pero está claro que Tor proporciona el mismo nivel de seguridad y el anonimato a los usuarios militares que a cualquier otra persona. Tor es utilizado por una amplia gama de personas: activistas, periodistas, militares, policíasejecutivos, y gente común que no quiere ser sometida a seguimiento, así como delincuentes de todo tipo. Esta diversidad permite que cualquier actor -usuarios gubernamentales como el Ejército de Corea del Sur, activistas o usuarios ilícitos- permanezca en el anonimato.
A petición de devilangel, el personal de apoyo de Hacking Team intentó solucionar el problema, y descubrió que tanto la versión estable del navegador Tor, así como la versión experimental beta, contenía un error que impedía que los usuarios instalaran certificados de cifrado. 
"Sugerimos utilizar una forma diferente para sus conexiones con el portal de asistencia de HT si usted todavía necesita ocultar su dirección IP: VPNs, proxies públicos, VPS a través de VNC/RDP, complementos de navegador como Anonimox...", sugiere el personal de apoyo al Ejército de Corea del Sur.»