Γεια σας κι ευχαριστώ που ήρθατε σήμερα. Το όνομά μου είναι Μπιλ Μάρζακ.
Είμαι επικεφαλής ερευνητής στο Citizen Lab του Πανεπιστημίου του Τορόντο
και θα σας μιλήσω σήμερα για...
Μπορώ να χρησιμοποιήσω το απλό μικρόφωνο, αν υπάρχει θέμα.
Όπως έλεγα, το όνομά μου είναι Μπιλ Μάρζακ.
Είμαι ερευνητής στο Citizen Lab του Πανεπιστημίου του Τορόντο
και θα σας μιλήσω σήμερα για το πώς εμείς στο Citizen Lab
αποκαλύπτουμε τη χρήση κατασκοπευτικού λογισμικού καθώς και παρακολουθήσεις.
Στο Citizen Lab μελετάμε τη σχέση τεχνολογίας και ανθρωπίνων δικαιωμάτων.
Δώστε μου μισό λεπτό. Το χειριστήριο δεν δουλεύει σωστά. Ορίστε.
Αυτό είναι το Citizen Lab, για όσους/ες βλέπετε τις διαφάνειες.
Εδρεύουμε στο Πανεπιστήμιο του Τορόντο και, όπως ανέφερα,
μελετάμε τη σχέση μεταξύ ψηφιακής ασφάλειας και ανθρωπίνων δικαιωμάτων.
Ως προς τις παρακολουθήσεις, κυνηγάμε ομάδες που χακάρουν την κοινωνία των πολιτών.
Με τον όρο "κοινωνία των πολιτών" εννοώ δημοσιογράφους, αντιφρονούντες, ακτιβιστές.
Η μεθοδολογία που εφαρμόζουμε γι' αυτό το πρόβλημα στο Citizen Lab
είναι ένα μείγμα ερευνητικών μεθόδων.
Εγώ έχω σπουδάσει επιστήμη των υπολογιστών.
Έχω διδακτορικό δίπλωμα από το Πανεπιστήμιο της Καλιφόρνιας, στο Μπέρκλεϊ.
Άλλοι συνάδελφοι στο Citizen Lab είναι από τον χώρο των πολιτικών επιστημών,
των διεθνών σχέσεων, της νομικής.
Ο διευθυντής του Citizen Lab είναι καθηγητής πολιτικών επιστημών.
Η μεθοδολογία που χρησιμοποιούμε για να προσεγγίσουμε το πρόβλημα
περιλαμβάνει ένα μείγμα μεθόδων.
Τα αποτελέσματά μας είναι συμπεράσματα που αξιολογούνται από ομότιμους
στο βαθμό που μπορούμε,
γιατί, όπως θα εξηγήσω, υπάρχουν ζητήματα ως προς το τι μπορούμε να περιγράψουμε.
Μπορούμε να δείξουμε τη μεθοδολογία μας αλλά όχι να δημοσιεύσουμε λεπτομέρειες
για τους δείκτες ή τα πράγματα που ψάχνουμε κάθε φορά.
Γιατί πρόκειται για κούρσα εξοπλισμών.
Προσπαθούμε να εντοπίσουμε ανθρώπους που δεν θέλουν να εντοπιστούν.
Αν, λοιπόν, καταλάβουν πώς τους εντοπίζουμε
θα αλλάξουν συμπεριφορά και δεν θα μπορούμε να τους βρούμε.
Να σας δώσω εν συντομία τη δομή της σημερινής μου ομιλίας.
Πρώτα θα δώσω έναν ορισμό για το μισθοφορικό λογισμικό κατασκοπείας.
Πρόκειται για μια βιομηχανία που προμηθεύει κατασκοπευτικά λογισμικά σε κυβερνήσεις.
Στη συνέχεια θα εξηγήσω πώς δουλεύουμε για να εντοπίσουμε αυτό το λογισμικό
και θα εξηγήσω γιατί δουλεύουμε από κάτω προς τα πάνω με αφετηρία τους στόχους.
Είμαστε σε επαφή με ακτιβιστές, δημοσιογράφους, αντιφρονούντες,
μέλη της κοινωνίας των πολιτών σε όλο τον κόσμο
και τους ενθαρρύνουμε να αναφέρουν ύποπτα πράγματα που παρατηρούν,
τα οποία μπορεί να αποτελούν ενδείξεις παρακολούθησης ή χακαρίσματος.
Θα σας εξηγήσω, λοιπόν, πώς το κάνουμε.
Πώς ξεσκεπάζουμε αυτές τις εταιρείες μέσα από αντικείμενα ή συνδέσμους
ή συνημμένα αρχεία ή μηνύματα που μας προωθούνται από πολίτες.
Στη συνέχεια θα εξηγήσω...
Θα εξηγήσω πώς χρησιμοποιούμε τις πληροφορίες που έχουμε αποκτήσει
για να κάνουμε διεξοδική ανάλυση.
Με άλλα λόγια, να ελέγξουμε συσκευές ή τηλέφωνα για να δούμε αν έχουν παραβιαστεί.
Μετά θα εξηγήσω μέσα από την αφήγηση της ιστορίας
πώς φτάσαμε ή πώς βοηθήσαμε στην αποκάλυψη του Predator στην Ελλάδα.
Θα ξεκινήσω από το μισθοφορικό λογισμικό κατασκοπείας. Τι είναι;
Ίσως έχετε ακούσει εταιρείες όπως η FinFisher.
Αυτό είναι ένα στιγμιότυπο οθόνης από την ιστοσελίδα τους,
για όσους μπορούν να δουν τις διαφάνειες.
Αυτό που διαφημίζουν είναι ένα προϊόν
που βοηθά κυβερνήσεις και διωκτικές αρχές να ξεπερνούν «προκλήσεις».
Αυτές οι εταιρείες λένε στις κυβερνήσεις
"Τρομοκράτες και εγκληματίες επικοινωνούν χρησιμοποιώντας κρυπτογράφηση
"και άρα χρειάζεστε κάτι για να μπορείτε να καταλάβετε τι λένε.
"Αυτό το κάτι είναι το προϊόν μας, που μπορεί να παραβιάσει υπολογιστές και κινητά
"και να υποκλέψει τα μηνύματά τους πριν την εφαρμογή κρυπτογράφησης
"ή μετά την αποκρυπτογράφησή τους."
Άλλα παραδείγματα εταιρειών είναι η Hacking Team με έδρα στην Ιταλία
και η Cyberbit που εδρεύει στο Ισραήλ.
Αλλά επιτρέψτε μου να δώσω λίγο χρόνο για τη μετάφραση εδώ.
Έτσι, έχουμε τη FinFisher, η οποία είχε την έδρα της στη Γερμανία
και πλέον έχει κηρύξει πτώχευση
Η Hacking Team είναι άλλο ένα παράδειγμα πρώην ευρωπαϊκού προμηθευτή
εργαλείων κατασκοπείας και hacking, που επίσης φαλίρισε.
Η CyberBit είναι μια άλλη εταιρεία με έδρα το Ισραήλ.
Δεν χρειάζεται να διαβάσετε τη διαφάνεια,
ωστόσο βλέπετε ότι το προωθητικό τους μήνυμα είναι ουσιαστικά το ίδιο:
"Τρομοκράτες και εγκληματίες χρησιμοποιούν κρυπτογράφηση.
"Χρειάζεστε το προϊόν μας για να τους χακάρει και να μάθετε τι λένε."
Η πιο διάσημη εταιρεία, ωστόσο, είναι η NSO Group,
η οποία συμπυκνώνει το μάρκετινγκ του κλάδου σε ένα πολύ έξυπνο σλόγκαν:
"Οι τρομοκράτες κι οι εγκληματίες είναι πλέον στο σκοτάδι."
Η NSO Group και οι ανταγωνιστές της παρέχουν εξελιγμένα προϊόντα παρακολούθησης.
Τι είναι τα λογισμικά παρακολούθησης; Βλέπετε ένα στιγμιότυπο οθόνης
από κάποιο έγγραφο της NSO Group, που δείχνει τη λειτουργικότητα ενός spyware.
Με άλλα λόγια, τι μπορεί να κάνει αφού καταφέρει να "μπει" στο τηλέφωνό σας.
Θα εξηγήσω σε λίγο πώς μπαίνει στο τηλέφωνο.
Αλλά μόλις το λογισμικό κατασκοπείας εγκατασταθεί στο τηλέφωνο,
μπορεί ουσιαστικά να υποκλέψει τα πάντα στη συσκευή:
Φωτογραφίες, κωδικούς πρόσβασης, μπορεί να εντοπίσει την τοποθεσία σας,
να υποκλέψει κλήσεις και κρυπτογραφημένα μηνύματα,
ή ακόμη και να ενεργοποιήσει το μικρόφωνο και την κάμερά σας, ακόμα κι όταν δεν μιλάτε,
προκειμένου να κατασκοπεύσει τι γίνεται κοντά στο κινητό σας.
Στη συνέχεια, θα σας μιλήσω για νυν και πρώην ιδιοκτήτες τέτοιων εταιρειών.
Αυτός ο κύριος, αν βλέπετε τις διαφάνειες, είναι ο Μάρτιν Μαντς,
πρώην στέλεχος της FinFisher, μιας εταιρείας κατασκοπευτικού λογισμικού.
Ίσως το πιο διάσημο "απόφθεγμά" του περί προϊόντων spyware
ήταν ότι συνέκρινε τα προϊόντα spyware και τις δυνατότητες κατάχρησης τους
με ένα κουτάκι Coca Cola ή μια μπαταρία αυτοκινήτου,
λέγοντας ότι μπορείτε να χρησιμοποιήσετε μια μπαταρία αυτοκινήτου για βασανιστήρια
ή να ρίξετε ένα κουτάκι αναψυκτικού στη μύτη κάποιου για να τον πειράξετε.
Αντίστοιχα μπορεί να γίνει και κατάχρηση εργαλείων παρακολούθησης.
Έτσι, υποβαθμίζεται η σημασία των spyware ως εργαλείων παρακολούθησης
και παρουσιάζονται ως συνηθισμένα εργαλεία που χρησιμοποιούμε καθημερινά
και αποτελούν μέρος της καθημερινότητας.
Ένα ακόμα στέλεχος της βιομηχανίας παρακολούθησης.
Θα παρατηρήσετε μια τάση εδώ, ότι είναι σχεδόν όλοι άντρες.
Αυτός είναι ο Σάλεβ Χούλιο, συνιδρυτής και πρώην διευθύνων σύμβουλος της NSO Group.
Του άρεσε τόσο πολύ να είναι CEO, που παραιτήθηκε δύο φορές.
Η πιο πρόσφατη παραίτησή του ήταν πριν από περίπου δύο εβδομάδες.
Σύμφωνα με ένα άρθρο γι' αυτόν που δημοσίευσε μια ισραηλινή εφημερίδα,
έχει κάποιους μάλλον ενδιαφέροντες τρόπους να ανταγωνίζεται στον κλάδο του.
Το απόσπασμα αναφέρει ότι δεν είναι σαφές αν τα όρια του Χούλιο είναι όπου θα 'πρεπε.
Ενίοτε χρησιμοποιεί τεχνικές ανταγωνισμού, που ίσως δεν είναι ό,τι πιο ηθικό.
Σε μια περίπτωση, φέρεται να είπε ψέματα σε υποψήφιους πελάτες, λέγοντας,
"Μην μπείτε στον κόπο να τσεκάρετε τα προϊόντα των ανταγωνιστών μας,
"γιατί θα αγοράσουμε την εταιρεία τους" ή "γιατί είμαι στο ΔΣ τους"
ή "γιατί το προϊόν της τάδε εταιρείας είναι το δικό μας υπό μορφή λευκής ετικέτας".
Εδώ είναι ένας κύριος που πιθανώς όλοι να γνωρίζετε: ο Ταλ Ντίλιαν.
Εκτός από διευθύνων σύμβουλος της Intellexa,
της μητρικής εταιρείας που έχει το λογισμικό παρακολούθησης predator,
είναι και φιλόσοφος όσον αφορά το θέμα των παρακολουθήσεων.
Το αγαπημένο μου ρητό του, που συμπυκνώνει την κοσμοθεωρία του για τη σχετική βιομηχανία
είναι ότι "μπορεί και να χρησιμοποιηθούν για κακό τα προϊόντα μας,
"αλλά ο κόσμος θα πρέπει να το ξεπεράσει.
"Τα προϊόντα μας θα συνεχίσουν να υπάρχουν".
Αλλά ίσως η πιο ενδεικτική περίπτωση ολόκληρου του κλάδου
είναι οι φωτογραφίες αυτού του κυρίου, του Ίβο Μαλινκόβσκι, του CEO της Cytrox.
Βλέπετε στην μπλούζα του τη στάμπα με τη φράση "περισσότερα χρήματα".
Αφού σας σύστησα τη βιομηχανία παρακολούθησης,
θα ήθελα να σας εξηγήσω πώς παρακολουθούμε την κατάχρηση των προϊόντων της,
επειδή, όπως είπα προηγουμένως, παρόλο που οι εταιρείες ισχυρίζονται
ότι τα προϊόντα τους υπάρχουν ώστε οι κυβερνήσεις να κατασκοπεύουν εγκληματίες,
συχνά η πραγματικότητα είναι κάπως διαφορετική.
Τα spyware χρησιμοποιούνται καταχρηστικά και όχι μόνο σε μεμονωμένες περιπτώσεις
αλλά σε ευρεία κλίμακα σε όλο τον κόσμο.
Θα εξηγήσω πώς στο Citizen Lab εργαζόμαστε με πιθανούς στόχους από την κοινωνία των πολιτών
δουλεύοντας από κάτω προς τα πάνω,
προκειμένου να χαρτογραφήσουμε και να κατανοήσουμε τη βιομηχανία.
Η πρώτη περίπτωση υποκλοπής και παρακολούθησης κινητών τηλεφώνων
με προϊόντα της εν λόγω βιομηχανίας ήρθε στο φως τον Αύγουστο του 2016,
όταν ένας ακτιβιστής στα Εμιράτα, στο Ντουμπάι, ονόματι Άχμεντ Μανσούρ,
επικοινώνησε με το Citizen Lab και μας είπε: "Γεια σας, νομίζω ότι έγινα πάλι στόχος".
Γιατί "πάλι"; Διότι για πολλά χρόνια, πριν το 2016, είχε λάβει δεκάδες ύποπτα μέιλ,
ύποπτους συνδέσμους, ύποπτα συνημμένα αρχεία,
τα οποία αποδείχθηκαν ότι ήταν επιθέσεις spyware κατά του υπολογιστή του.
Αλλά τον Αύγουστο του 2016, μας έστειλε κάτι λίγο διαφορετικό.
Ένα ύποπτο γραπτό μήνυμα που είχε λάβει στο τηλέφωνό του
που έγραφε στα αραβικά: "Νέα μυστικά για βασανιστήρια στις φυλακές των Εμιράτων".
Τι κάνουμε όταν λαμβάνουμε κάτι τέτοιο στο Citizen Lab,
όταν ένας ακτιβιστής ή αντιφρονούντας μας στέλνει ένα τέτοιο μήνυμα;
Το πρώτο που πρέπει να κάνουμε είναι να δουλέψουμε πολύ γρήγορα.
Μια διάσημη ρήση του Βενιαμίν Φραγκλίνου, ενός πολύ διάσημου Αμερικάνου,
λέει ότι μπορείτε να καθυστερήσετε, αλλά ο χρόνος δεν θα κάνει το ίδιο.
Ουσιαστικά, πρέπει να εργαστούμε πολύ γρήγορα σε τέτοιου είδους καταστάσεις.
Και γιατί αυτό; Όπως καταλαβαίνουμε, οι εταιρείες που παράγουν spyware
δεν θέλουν ερευνητές, όπως το Citizen Lab,
να κατανοήσουν τη λειτουργία ή να "συλλάβουν" αντίγραφο του spyware τους.
Έτσι, προκειμένου να μας δυσκολέψουν, εισάγουν χρονικούς περιορισμούς
στους συνδέσμους που αποστέλλονται στους στόχους.
Δηλαδή μπορεί το λινκ να μένει ενεργό για 24 ώρες ή και για λιγότερο
και μετά να μην μπορεί πλέον να μολύνει ένα τηλέφωνο.
Ή ίσως το λινκ να μένει ενεργό για συγκεκριμένο αριθμό κλικ.
Την πρώτη φορά που κάνετε κλικ στο λινκ, το τηλέφωνο μολύνεται.
Ξανακάνετε κλικ και πλέον δεν συμβαίνει τίποτα.
Άρα ξέραμε ότι έπρεπε να κινηθούμε γρήγορα. Τι κάναμε λοιπόν;
Ουσιαστικά τσιμπήσαμε το δόλωμα. Κάναμε κλικ στο λινκ που μας είχε προωθηθεί.
Εδώ βλέπετε μια αναπαράσταση της πειραματικής διάταξης που χρησιμοποιήσαμε.
Ουσιαστικά, συνδέσαμε ένα κινητό μετά από επαναφορά εργοστασιακών ρυθμίσεων,
δηλαδή ένα iPhone στο οποίο κάναμε reset, το οποίο ήταν πανομοιότυπο με το δικό του
και που έτρεχαν την ίδια έκδοση του iOS.
Πληκτρολογήσαμε το λινκ στο κινητό,
το οποίο είχαμε συνδέσει στο ίντερνετ μέσω ενός ενδιάμεσου υπολογιστή.
Τι ρόλο έπαιζε αυτός ο υπολογιστής;
Θέλαμε να καταγράψουμε όλα όσα στέλνονταν και λαμβάνονταν μέσω της σύνδεσης του τηλεφώνου.
Με άλλα λόγια, προσπαθούσαμε να "συλλάβουμε" ένα αντίγραφο του spyware
υποθέτοντας ότι το λινκ περιείχε κάποιο spyware.
Πληκτρολογήσαμε το λινκ στο Safari του iPhone και πατήσαμε "εκτέλεση".
Τι έγινε τότε;
Μπορούσαμε να καταγράψουμε στον υπολογιστή
ό,τι έστελνε και λάμβανε το spyware από το κινητό και το ίντερνετ.
Είδαμε ότι όταν πληκτρολογήσαμε το λινκ και πατήσαμε το "go" για να εκτελεστεί,
το τηλέφωνο κατέβασε μια σειρά από τρία "zero day exploits".
Τι είναι τα zero day exploits;
Είναι exploit, ως τότε άγνωστα στην Apple, κάποια ευπάθεια ασφαλείας
που μπορεί να χρησιμοποιηθεί για την εκτέλεση κώδικα
ή την εγκατάσταση λογισμικού στο κινητό χωρίς την άδεια του χρήστη.
Και η Apple δεν το γνωρίζει, οπότε έχει "μηδέν ημέρες" για να βγάλει ένα patch.
Δεν υπάρχει επιδιόρθωση ή νεότερη έκδοση του iOS, που να εμποδίζει το spyware.
Εκπλαγήκαμε αρκετά, καθώς αυτή ήταν η πρώτη καταγεγραμμένη περίπτωση
όπου είχε αποκαλυφθεί δημόσια exploit που χρησιμοποιήθηκε για εγκατάσταση spyware
σε κινητό τηλέφωνο "ελεύθερα", δηλαδή στον πραγματικό κόσμο κι όχι σε εργαστήριο.
Το επόμενο βήμα μας αφού καταλάβαμε ότι το λινκ περιείχε κακόβουλο περιεχόμενο,
δηλαδή το exploit που σας είπα,
ήταν να σκεφτούμε ως εξής:
Είδαμε ένα παράδειγμα με αυτό το SMS και το λινκ που εμπεριείχε,
αλλά ίσως αυτό το spyware να χρησιμοποιήθηκε και σε άλλες περιπτώσεις.
Μπορούμε να καταλάβουμε πού αλλού μπορεί να χρησιμοποιήθηκε;
Υπάρχει μια έκφραση στα αγγλικά που λέει "Αν δεις ένα είναι σαν να τα έχεις δει όλα".
Εν προκειμένω, αυτό σημαίνει ότι μπορέσαμε να καταλάβουμε
πώς συμπεριφερόταν ο σύνδεσμος όταν κάναμε κλικ πάνω του.
Έτσι στη συνέχεια μπορέσαμε να ψάξουμε σε όλο το διαδίκτυο, σε κάθε ιστοσελίδα,
και σε κάθε διακομιστή στο ίντερνετ για να βρούμε άλλους διακομιστές
που συμπεριφέρονταν με τον ίδιο τρόπο.
Στόχος μας ήταν να προσπαθήσουμε να εντοπίσουμε πιθανές άλλες ιστοσελίδες
που θα μπορούσαν να χρησιμοποιηθούν σε λινκ που θα στέλνονταν σε άλλους στόχους.
Ξεκινάμε, λοιπόν, από μία περίπτωση, την χαρτογραφούμε όσο ευρύτερα γίνεται
και προσπαθούμε να κατανοήσουμε το παγκόσμιο αποτύπωμα τέτοιου τύπου spyware.
Έτσι, σαρώσαμε ενδελεχώς το διαδίκτυο και βρήκαμε εκατοντάδες άλλες διευθύνσεις IP
που συμπεριφέρονταν παρόμοια με αυτή που είδαμε στο λινκ του στόχου μας.
Αφού καταφέραμε αυτό που σας περιέγραψα, περάσαμε σε μια επόμενη αναζήτηση:
Σχετικά με τις διευθύνσεις IP που εντοπίσαμε,
αφού σαρώσαμε το διαδίκτυο,
ξέρουμε πώς συμπεριφέρονται τώρα, αλλά πώς συμπεριφέρονταν στο παρελθόν;
Έτσι, εξετάσαμε προηγούμενα δεδομένα σάρωσης του ίντερνετ που υπήρχαν διαθέσιμα
και διαπιστώσαμε ότι τουλάχιστον 41 από αυτές τις διευθύνσεις IP
ανταποκρίθηκαν διαφορετικά σε σχέση με το παρελθόν.
Στη συνέχεια ψάξαμε κάτι ακόμα.
Ποιες άλλες ΙΡ ανταποκρίθηκαν στο παρελθόν όπως αυτές οι 41;
Διαπιστώσαμε με ενδιαφέρον ότι μεταξύ των IP που ανταποκρίθηκαν με τον ίδιο τρόπο
ήταν και τρεις που ήταν καταχωρημένες σε μια εταιρεία που ονομάζεται NSO Group.
Είμαστε σε θέση να κάνουμε αυτήν την ανίχνευση αναδρομικά,
αλλά και αφού δημοσιεύσαμε πληροφορίες στις σχετικές εκθέσεις του Citizen Lab,
και οι εταιρείες άλλαξαν την συμπεριφορά των διευθύνσεων IP της,
και το πώς ανταποκρίνονται οι διακομιστές της, μπορούμε να συνεχίσουμε να τις παρακολουθούμε
και να ψάξουμε τυχόν επικαλύψεις στο μέλλον.
Με αυτόν τον τρόπο, όταν εντοπίζουμε ένα παράδειγμα επίθεσης,
μπορούμε να εντοπίσουμε τη λειτουργία του κάποια στιγμή στο παρελθόν.
και να βρούμε ενδεχομένως την εταιρεία που πούλησε το εν λόγω spyware.
Μπορούμε επίσης, με την προϋπόθεση ότι δεν αποκαλύπτουμε πολλές λεπτομέρειες
που η εταιρεία μπορεί να χρησιμοποιήσει για να κρυφτεί,
να εντοπίσουμε ενδεχόμενες επιθέσεις και μολύνσεις από spyware στο μέλλον.
Αυτό μας επιτρέπει να διατηρούμε ορατότητα σε βάθος χρόνου
σε δραστηριότητες spyware που σχετίζονται με την εκάστοτε εταιρεία.
Ένα από τα ενδιαφέροντα ευρήματά μας και ζητώ συγγνώμη για τα μικρά γράμματα,
είδαμε ότι αν τα λινκ αποστέλλονται σε ανθρώπους μέσω SMS,
το όνομα της ιστοσελίδας στο λινκ θα πρέπει λογικά να είναι σχεδιασμένο
έτσι ώστε να μοιάζει με κάτι που θα κάνει τον στόχο να το πατήσει.
Για παράδειγμα, μπορεί να υποδυθεί έναν ειδησεογραφικό ιστότοπο,
έναν ιστότοπο παρόχου κινητής τηλεφωνίας ή τον πάροχο ίντερνετ του εκάστοτε στόχου.
Έτσι, όταν βρήκαμε όλες αυτές τις διευθύνσεις IP κατά τη σάρωσή μας,
μπορέσαμε να δούμε τα ονόματα των σχετικών ιστότοπων.
Και από αυτή τη μία περίπτωση στα Ηνωμένα Αραβικά Εμιράτα,
βρήκαμε περιπτώσεις όπου οι ιστότοποι είχαν ονόματα ενδεικτικά άλλων χωρών,
όπως το Μεξικό, η Κένυα, το Μπαχρέιν και δεκάδες άλλες χώρες,
γεγονός που υποδηλώνει ότι το συγκεκριμένο spyware της NSO χρησιμοποιείται διεθνώς.
Τι ακολούθησε; Είχαμε βρει κι άλλες χώρες όπου μπορεί να χρησιμοποιείται το spyware.
Το επόμενο βήμα ήταν να έρθουμε σε επαφή με την κοινωνία των πολιτών
και κυρίως με δημοσιογράφους κι ακτιβιστές σε αυτές τις χώρες.
Και ένα από τα πρώτα πράγματα που προέκυψαν
αμέσως μετά τη διαπίστωση της επίθεσης κατά του Άχμεντ Μανσούρ
μετά από επαφές με μεξικανικές ΜΚΟ και οργανώσεις της κοινωνίας των πολιτών
κάποιες από αυτές ανέφεραν ότι έλαβαν ύποπτα μηνύματα SMS.
Και όντως, τα λινκ στα SMS ταίριαζαν με τους ιστότοπους που είχαμε βρει στη σάρωση.
Βλέπετε μερικά παραδείγματα γραπτών μηνυμάτων που έλαβαν κάποιοι Μεξικανοί ακτιβιστές.
Τα γράμματα είναι μικρά και τα μηνύματα περιέχουν και κάποιες βρισιές,
που δεν θα επαναλάβω τώρα, αλλά σκοπός τους ήταν να προσβάλλουν τους στόχους
και να τους κάνουν να πατήσουν το λινκ.
Να εγείρουν συναισθήματα και να τραβήξουν την περιέργειά τους ώστε να πατήσουν το λινκ,
εγκαθιστώντας έτσι το κατασκοπευτικό λογισμικό στο τηλέφωνο,
και δίνοντας στη μεξικανική κυβέρνηση σε αυτή την περίπτωση πρόσβαση στο κινητό.
Υπάρχει ένα μήνυμα εδώ, όμως, που θέλω να επισημάνω,
όπου στέλνουν μήνυμα στον στόχο, "Η κόρη σας μπήκε στο νοσοκομείο.
"Είχε ένα ατύχημα. Στο λινκ θα βρείτε το νοσοκομείο όπου έχει εισαχθεί".
Προφανώς, πρόκειται για ένα πολύ συναισθηματικά φορτισμένο μήνυμα
και πολλοί πιθανοί παραλήπτες θα πατούσαν το λινκ χωρίς να το σκεφτούν.
Είναι πολύ αποτελεσματικός τύπος επίθεσης.
Τώρα θα ήθελα να σας μιλήσω για το επόμενο βήμα,
το οποίο είναι η κατανόηση, σε έναν βαθμό, του τι συμβαίνει στο ίδιο το τηλέφωνο.
Όταν πατηθεί ένα λινκ, όταν κάποιος κάνει κλικ σε έναν κακόβουλο σύνδεσμο,
τι ίχνη θα αφήσει αυτή η κίνηση;
Γιατί αν βρούμε την απάντηση,
μπορούμε να ψάξουμε για ίχνη στις συσκευές άλλων ανθρώπων,
ακόμη και αν αυτοί δεν θυμούνται να έλαβαν ύποπτα μηνύματα
ή χωρίς να έχει συμβεί τίποτα ανησυχητικό σε σχέση με το κινητό τους..
Μπορούμε να πάμε και να εφαρμόσουμε την αναλυτική διαδικασία που ανέφερα
για να δούμε αν μπορεί να έχουν στοχοποιηθεί ή να έχουν μολυνθεί οι συσκευές τους.
Και πάλι τα γράμματα είναι πολύ μικρά.
Εδώ βλέπετε έναν από τους τρόπους με τους οποίους κάνουμε τη διερεύνηση,
το λεγόμενο χρονολόγιο. Έτσι βρίσκουμε πότε πατήθηκε το λινκ και μπήκε στο τηλέφωνο.
Προφανώς υπάρχει μια ημερομηνία και ώρα που έχει να κάνει με το SMS.
και στη συνέχεια ίσως μπορούμε να εξετάσουμε και άλλες βάσεις δεδομένων στο κινητό,
για παράδειγμα, το ιστορικό του browser, για να καταλάβουμε πότε έγινε κλικ στο λινκ,
και άλλες βάσεις δεδομένων που καταγράφουν δραστηριότητα εφαρμογών
ή προγραμμάτων που μπορεί να εκτελούνται σε συγκεκριμένες ώρες.
Αν τα βάλουμε όλα αυτά μαζί σε ένα χρονοδιάγραμμα,
μπορούμε να κατανοήσουμε την αλληλουχία των γεγονότων που συμβαίνουν στο κινητό
όταν κάνουμε κλικ στο λινκ.
Ο τεχνικός όρος γι' αυτή τη διαδικασία είναι "εντοπισμός δεικτών παρείσφρησης".
Ο όρος, σε αυτήν την περίπτωση, αναφέρεται σε ονόματα, κατηγορίες διεργασιών ή κώδικα
ή εφαρμογές που εκτελούνται στο κινητό σε συγκεκριμένες χρονικές στιγμές
ή άλλα χαρακτηριστικά αντικείμενα που αφήνει πίσω της η επίθεση.
Για παράδειγμα, κάτι που κάνουν πολλοί τύποι spyware
είναι ότι δεν αφήνουν το κινητό να στείλει αναφορές για κρασαρίσματα/ τερματισμούς.
Με άλλα λόγια, εάν μια εφαρμογή κρασάρει ή τερματιστεί ασυνήθιστα στο κινητό,
μπορεί να απενεργοποιηθεί και έτσι να το εντοπίσουμε κατά τον έλεγχό μας.
Και γενικά, μόλις εντοπίσουμε τέτοιους δείκτες παρείσφρησης,
δημιουργούμε ένα εργαλείο, ένα είδος προγράμματος υπολογιστή, με κώδικα,
που ψάχνει δείκτες παρείσφρησης σε μια συσκευή.
Όσοι από εσάς ασχολείστε με την τεχνολογία, ίσως έχετε ακούσει για ένα τέτοιο παράδειγμα
ενός προγράμματος που αναπτύχθηκε και κυκλοφόρησε δημόσια
από τους συναδέλφους και φίλους μας στην τεχνολογική ομάδα της Διεθνούς Αμνηστίας,
που ονομάζεται MVT.
Έτσι φτάνουμε στον Ιούλιο του 2021,
όταν καταφέραμε να αποκαλύψουμε έναν δεύτερο τύπο κατασκοπευτικού λογισμικού για κινητά,
μάλλον συμπτωματικά, θα έλεγα.
Επικοινώνησε μαζί μας κάποιος ονόματι Έιμαν Νουρ.
Ήταν υποψήφιος πρόεδρος της Αιγύπτου.
Τώρα ζει στην Τουρκία, όπου διευθύνει ένα αντιπολιτευτικό δορυφορικό τηλεοπτικό κανάλι.
Ανησυχούσε ότι ίσως το τηλέφωνό του να είχε παραβιαστεί,
αλλά δεν θυμόταν να έχει λάβει κανένα γραπτό μήνυμα ή λινκ.
Επικοινώνησε μαζί μας και κάναμε μια ενδελεχή ανάλυση στο κινητό του
χρησιμοποιώντας την τεχνική αναζήτησης δεικτών παρείσφρησης που είχαμε εντοπίσει
και συσχετίσει με το Pegasus, το spyware της NSO.
Αποφασίσαμε, λοιπόν, να κάνουμε μια ενδελεχή εξέταση του κινητού.
Πράγματι, είχε μολυνθεί από το Pegasus.
Ενδιαφέρον, αλλά βρήκαμε και κάτι ακόμα.
Τι ήταν αυτό που βρήκαμε;
Για όσους μπορείτε να το διαβάσετε,
αυτό είναι ένα απόσπασμα από ένα από τα αρχεία καταγραφής,
το οποίο δείχνει μια πολύ ύποπτη διαδικασία.
Όταν λέω "διαδικασία" εννοώ μια εφαρμογή που εκτελείται στο τηλέφωνο.
Έχω υπογραμμίσει το όνομα της εφαρμογής που μας φαίνεται ύποπτη για πολλούς λόγους.
Ο πρώτος είναι ότι το όνομα της εφαρμογής είναι payload,
όρος που χρησιμοποιείται συχνά από το spyware.
Το απόλυτο κατασκοπευτικό λογισμικό ονομάζεται payload.
Επιπλέον, η εντοπισμένη εφαρμογή εκκινήθηκε ή ξεκίνησε να λειτουργεί
μέσω ενός ύποπτου λινκ ή ιστότοπου, στη συγκεκριμένη περίπτωση.
Ωστόσο, μπορέσαμε να διαπιστώσουμε με βάση τη σάρωση του διαδικτύου που κάναμε,
ότι ο εν λόγω ιστότοπος δεν συνδεόταν με το Pegasus.
Σκεφτήκαμε λοιπόν, μήπως πρόκειται για άλλο είδος spyware για κινητά
που να τρέχει παράλληλα στο κινητό του και που ίσως μπορούσαμε να εντοπίσουμε.
Πρώτα προσπαθήσαμε να ανακαλύψουμε τι συμβαίνει πατώντας το λινκ,
με το οποίο ξεκίνησε η λειτουργία της εφαρμογής.
Πράγματι, αποκτήσαμε μ' αυτόν τον τρόπο αντίγραφο του Spyware. Είχε πλάκα, θα έλεγα.
Το spyware είχε το όνομα "Predator" αρκετές φορές μέσα στον κώδικά του.
Μας φάνηκε πολύ ενδιαφέρον.
Αποφασίσαμε να προσπαθήσουμε να χρησιμοποιήσουμε την ίδια διαδικασία
που είχαμε εφαρμόσει και με το Pegasus: Να αντιληφθούμε τη συμπεριφορά του ιστότοπου
που περιλαμβάνεται στο λινκ,
και μετά να βρούμε όλες τις ιστοσελίδες στο διαδίκτυο που έχουν την ίδια συμπεριφορά.
Σε αυτή την περίπτωση, αντί να κάνουμε τη σάρωση μόνοι μας,
χρησιμοποιήσαμε αυτή τη δωρεάν διαδικτυακή υπηρεσία που ονομάζεται censys.
Όσοι είστε τεχνολόγοι ή ενδιαφέρεστε για την πληροφορική, ψάξτε την στο ίντερνετ.
Λεπτομέρειες για το πώς ακριβώς το κάναμε υπάρχουν σε μια έκθεση που δημοσιεύσαμε.
Δεν θα επεκταθώ τώρα, αλλά αν ενδιαφέρεστε, η έκθεση υπάρχει στη σελίδα του Citizen Lab.
Συνολικά βρήκαμε 28 διευθύνσεις IP με το ίδιο αποτύπωμα με αυτό του ιστότοπου στο λινκ.
Μία από αυτές άνηκε σε έναν ιστότοπο που κατέληγε σε "cytrox.com".
Η Cytrox, όπως ανέφερα και στην αρχή της ομιλίας μου,
είναι μία από αυτές τις εταιρείες που πωλούν κατασκοπευτικό λογισμικό σε κυβερνήσεις.
Είναι η εταιρεία του τύπου με τη στάμπα "περισσότερα χρήματα" στη μπλούζα.
Έτσι ερχόμαστε σε μία από τις προκλήσεις που θα ήθελα να επισημάνω.
Όταν βρίσκουμε αυτούς τους ιστότοπους, αυτές τις διευθύνσεις IP,
συχνά πρόκειται για διακομιστές στο cloud που είναι διακομιστές μεσολάβησης (proxy).
Οι διακομιστές μεσολάβησης απλά προωθούν πληροφορίες σε κάποιον άλλο διακομιστή.
Στην περίπτωση της Cytrox, μπορέσαμε να βρούμε ποιος βρισκόταν από πίσω.
Ωστόσο, με τις περισσότερες διευθύνσεις IP που βρίσκουμε,
δεν καταλαβαίνουμε αμέσως ποια κυβέρνηση μπορεί να τις χρησιμοποιεί.
Αυτή, λοιπόν, είναι μία από τις προκλήσεις της έρευνας.
Δεν μπορούμε, από τεχνολογικής απόψεως, να εξακριβώσουμε εύκολα
πού προωθούν δεδομένα ένας διακομιστής ή μια διεύθυνση IP που εντοπίζουμε,
ποιο είναι το επόμενο βήμα ή ο επόμενος κρίκος στην αλυσίδα.
Προσπαθήσαμε λοιπόν να καταλάβουμε πώς τον χάκαραν με το Predator της Cytrox,
και βρήκαμε ότι είχε λάβει στο κινητό του λινκ με ειδήσεις και πολιτικά γεγονότα.
Δημοσιεύσαμε μια έκθεση γι' αυτή την υπόθεση στο Citizen Lab.
Συνεργαστήκαμε και με την Meta.
Για όσους δεν τη γνωρίζετε, Meta είναι το νέο όνομα της εταιρείας του Facebook.
Συνεργαστήκαμε, λοιπόν, για μια έκθεση.
Δημοσιεύσαμε τη δική μας κι η Meta τη δική της.
Ένα απ'τα ενδιαφέροντα στοιχεία που αποκάλυψε η Meta σε συνεργασία με το Citizen Lab
ήταν ένα δίκτυο περίπου 400 ιστότοπων που συνδέονταν με το spyware
καθώς χρησιμοποιούνταν για την μετάδοση του spyware στα τηλέφωνα των ανθρώπων.
Κι έτσι φτάνουμε στην κατακλείδα της ομιλίας, την περίπτωση του Predator στην Ελλάδα.
Όπως είπα, η Meta και το Citizen Lab εντόπισαν ένα μεγάλο δίκτυο ιστοσελίδων.
Ένα από τα ενδιαφέροντα χαρακτηριστικά αυτού του δικτύου
είναι ότι μπορέσαμε να δούμε τα ονόματα των ιστότοπων, που ήταν δεκάδες.
Εδώ βλέπετε ένα στιγμιότυπο οθόνης από ένα ελληνικό ειδησεογραφικό άρθρο.
Περιέχει δεκάδες ιστοσελίδες με θεματικές που υποδηλώνουν στοχοποίηση στην Ελλάδα,
όπως ακριβώς είχαμε βρει και με το Pegasus της NSO.
Όταν χαρτογραφήσαμε τους διακομιστές, βρήκαμε συνδέσεις σε άλλες χώρες που το χρησιμοποιούσαν.
Το ίδιο έγινε και με την έρευνα των Citizen Lab και Meta ως προς το Predator.
Βρήκαμε συνδέσεις με την Ελλάδα κι άλλες χώρες όπως η Μαδαγασκάρη, η Ακτή Ελεφαντοστού
καθώς και με χώρες στην Ευρώπη και την Ασία.
Προφανώς, αυτή η αποκάλυψη δεκάδων ονομάτων domain σχετικών με την Ελλάδα,
τράβηξε την προσοχή του κόσμου.
Και ήρθε σε επαφή μαζί μας ο κύριος από εδώ, ο Θανάσης Κουκάκης, Έλληνας δημοσιογράφος.
Υποψιάστηκε με βάση κάποια από τα λινκ που δημοσιεύτηκαν,
ότι ίσως το τηλέφωνό του είχε παραβιαστεί. Ευτυχώς, ήμασταν σε θέση να τον βοηθήσουμε,
μιας κι είχαμε αναπτύξει εργαλεία ενδελεχούς ανάλυσης
που μπορούσαν να δείξουν αν το τηλέφωνο είχε παραβιαστεί ή όχι.
Τελικά διαπιστώσαμε ότι το τηλέφωνό του είχε πράγματι παραβιαστεί
και εντοπίσαμε ένα συγκεκριμένο ύποπτο μήνυμα το οποίο περιείχε ένα λινκ
που παρίστανε ένα πολιτικό ιστολόγιο.
Όπως θα ξέρετε, αυτό οδήγησε σε αποκαλύψεις και άλλων περιπτώσεων
για άτομα που είχαν λάβει λινκ για τον ίδιο ιστότοπο,
τον οποίο μπορέσαμε να συνδέσουμε με το spyware Predator της Cytrox.
Ωστόσο, νομίζω ότι αυτά που ξέρουμε είναι μόνο η κορυφή του παγόβουνου.
Η Meta και το Citizen Lab σύνδεσαν δεκάδες σάιτ με πιθανή δραστηριότητα του Predator.
Μέχρι στιγμής, έχουν εντοπιστεί μόλις τρεις στόχοι.
Η εμπειρία μας στο Citizen Lab από τη διερεύνηση spyware σε άλλες χώρες,
λέει πως πιθανότατα οι τρεις είναι μόνο η κορυφή του παγόβουνου.
Χρειάζεται περαιτέρω έρευνα.
Κλείνοντας, θα ήθελα να σας αφήσω με μια σκέψη,
Συχνά ακούμε ανθρώπους να λένε: "Δεν έχω τίποτα να κρύψω.
"Γιατί να με απασχολεί το ζήτημα των παρακολουθήσεων;"
Μία απάντηση που μου αρέσει να δίνω στο συγκεκριμένο ερώτημα
είναι ότι πρόκειται για ένα ζήτημα μεγαλύτερο από την ιδιωτικότητα του καθενός.
Είναι πρόβλημα για τους θεσμούς και τη δημοκρατία εν γένει
όταν στοχοποιείται ένας δημοσιογράφος ή ένας πολιτικός της αντιπολίτευσης.
Ναι μεν υπάρχει και παραβίαση της ιδιωτικότητας του εν λόγω ατόμου,
αλλά, πολύ πιο ύπουλα, χάνεται έδαφος ως προς τον θεσμό της ανεξαρτησίας του Τύπου
ή της πολιτικής αντιπολίτευσης. Και αν αυτοί οι θεσμοί σταδιακά υποβαθμιστούν,
η δημοκρατία δεν θα μπορεί πια να λειτουργήσει.
Και αυτό επηρεάζει όλη την κοινωνία,
διότι τα οφέλη που μας παρέχει η δημοκρατία, όπως η πολιτική επιλογή, η εποπτεία,
η καταπολέμηση της διαφθοράς και του αυταρχισμού αρχίζουν να χάνονται,
και το τίμημα το πληρώνουμε όλοι.
Με αυτήν την σκέψη θα κλείσω τη σημερινή μου ομιλία. Σας ευχαριστώ.