Im vergangenen Jahr gab Facebook bekannt, dass WhatsApp-Benutzer für einen Exploit anfällig sind, der sich mit nur wenigen unbeantworteten Anrufen in Telefone hacken kann. Der neue Exploit war wahrscheinlich Teil von Pegasus, einer Spyware-Suite, die von der in Tel Aviv ansässigen NSO Group entwickelt wurde. Laut WhatsApp und Citizen Lab, einem Forschungszentrum an der Universität von Toronto kann das Unternehmen Telefone und Computer für hochbezahlte Regierungskunden übernehmen. Das US-Justizministerium erklärte kürzlich gegenüber Fast Company, dass es sich des Exploits bewusst ist, jedoch wollte sich ein Vertreter der Behörde nicht dazu äußern, ob sie aktiv gegen den Exploit vorgehen.
NSO ist vielleicht der berüchtigtste Hersteller von mobiler Spyware, jedoch sind sie nur eine von vielen zwielichtigen Firmen, die Smartphone-Malware anbieten die zwar offiziell nur auf Kriminelle oder Terroristen abzielen, aber auch zur Überwachung von Aktivisten, Anwälten und anderen Mitgliedern der Zivilgesellschaft verwendet werden. In einem kürzlich eingereichten Gerichtsverfahren wird behauptet, dass die Pegasus-Technologie verwendet wurde, um den ermordeten saudischen Dissidenten Jamal Khashogg zu verfolgen. Dutzende von Spyware-Firmen bieten eine Reihe von Smartphone-Überwachungen an, von Video- und Audioaufnahmen bis hin zur Standort- und Textüberwachung, auch von Regimen mit zweifelhafter Menschenrechtsbilanz. Diese Technologie wurde zum Beispiel von mysteriösen Elementen in Ländern wie Bahrain und Äthiopien genutzt, die das Remote Control System von Hacking Team aus Mailand bzw. die Spionagesoftware FinFisher der britischen Gamma Group einsetzten, um Dissidenten im In- und Ausland ins Visier zu nehmen.
NSO hat jede Rolle bei der Verfolgung von Khashoggi nachdrücklich bestritten. Der CEO des Unternehmens Shalev Hulio, sagte der israelischen Zeitung Yedioth Ahronoth Anfang des Jahres, dass “Khashoggi von keinem NSO-Produkt und keiner NSO-Technologie verfolgt wurde”. Im Januar sagte ein NSO-Sprecher gegenüber Fast Company, die Klagen seien “nichts weiter als ein leerer PR-Gag, um den Propaganda-Trommelwirbel gegen NSOs Arbeit fortzusetzen, die den Geheimdiensten hilft, um Verbrechen und Terrorismus rund um den Globus zu bekämpfen”.
Weitere Unternehmen sind die israelischen Firmen Ability (ein ehemaliger Partner der NSO Group), Verint und Elbit Systems, die Kunden auf der ganzen Welt haben, wie das Toolkit Surveillance Industry Index zeigt. In den letzten Monaten hat eine neue Allianz aus einigen öffentlichen und ungenannten Firmen Intellexa ins Leben gerufen. Ein Konsortium, das hofft, die NSO Group und Verint auf dem aufkeimenden “Lawful Intercept”-Markt herauszufordern. Ende Mai trat Senpai, ein “Beratungs- und F&E-Unternehmen” das sich auf Cyberintelligenz- und KI-Lösungen spezialisiert hat Intellexa als vierter offizieller Partner bei (fünf weitere werden nicht öffentlich genannt) und zwar aufgrund seiner Expertise in der KI-basierten Datenanalyse.
Besonders beunruhigend für die Zivilgesellschaft ist die Rechtsunsicherheit dieser Spyware-Tools. Während Sicherheitsforscher wie Citizen Lab immer wieder Fälle von Missbrauch aufdecken und Anwälte von betroffenen Personen den Kampf vor Gericht führen, werden Bundesverträge für den Verkauf und den Einsatz solcher mobilen Spyware-Tools mit wenig bis gar keiner Aufsicht fortgesetzt. Die Branche ist ein wahrer Wilder Westen der Cyberwaffen ohne Sheriffs, die jeden mit einem Smartphone schützen.
Karsten Nohl, Kryptograf und Geschäftsführer bei Security Research Labs sagt, dass rechtmäßige Überwachungswerkzeuge zwei Dimensionen haben: Ist das Smartphone ein iPhone oder nicht und erfordert der Exploit “Hilfe” vom Benutzer des Telefons? Bei einigen Exploits müssen Benutzer – trotz Warnungen – beispielsweise ein Sicherheitsupdate installieren, mit dem Malware auf ihr Gerät heruntergeladen wird. Laut Nohl sind die einfachsten Exploits die für Android-Telefone und die bevorzugten Exploits funktionieren über das Internet, während andere nur im Wi-Fi-Bereich funktionieren. Laut Nohl kann die NSO Group die meisten Versionen des iPhone und vieler Android-Telefone hacken, und dies geschieht normalerweise aus der Ferne.
“Am schwierigsten wäre ein Remote-Exploit eines iPhones und soweit ich das beurteilen kann, hat die NSO Group die meiste Zeit ein Monopol”, sagt Nohl. “Es gibt niemanden, der einen kontinuierlichen Zugriff auf das iPhone ohne die Hilfe der Benutzer versprechen kann.”
Wenn es jedoch um Fragen der Überwachung geht, ob staatlich oder geschäftlich, wissen wir sehr oft nicht, was wir nicht wissen. Nohl sagt, dass ein iPhone-Exploit einen Kunden Millionen von Dollar kosten kann. Ein Android-Exploit hingegen kostet nur Hunderttausende von Dollar. Das iPhone-Ökosystem ist sauber, mit nur einer Software für eine Reihe von Geräten, was hochspezialisierte Exploit-Forschung und -Entwicklung hervorbringt, daher die hohen Marktpreise. Das Android-Ökosystem ist viel fragmentierter, was weniger Aufwand erfordert, um Exploits für verschiedene Hersteller und Telefone zu entwickeln, aber mehr Arbeit erfordert, um die Exploits über die Zeit zu pflegen.
Apple hat es abgelehnt, sich öffentlich zu den Fähigkeiten von NSO oder anderen Spyware-Herstellern zu äußern. Im Jahr 2016, nachdem eine Untersuchung von Citizen Lab zu Pegasus Apple dazu veranlasste, einen Sicherheitspatch für iPhones zu veröffentlichen, gab das Unternehmen weder den Grund oder den Übeltäter an, noch kontaktierte es Menschenrechtsgruppen. Im selben Jahr gaben Google und das Cybersecurity-Unternehmen Lookout an, Spuren von NSO-Spyware auf “ein paar Dutzend” Smartphones in elf Ländern gefunden zu haben, vor allem in Israel, Mexiko, Georgien und der Türkei.
Es gibt billigere Optionen. Anstatt Telefone anzugreifen, bieten die meisten Spyware-Anbieter laut Nohl SS7-Spionage an, bei der Schwachstellen im Mobilfunknetz ausgenutzt werden. SS7 oder Signaling System No. 7, ist ein Protokoll, das es verschiedenen Telefonnetzen ermöglicht, miteinander zu kommunizieren. Wenn ein Exploit Hackern Zugriff auf SS7 gibt, können sie Informationen von Smartphone-Benutzern wie Sprachanrufe, Textnachrichten, Standortinformationen und andere Daten abfangen. “Natürlich kann Ihr iPhone sicherheitstechnisch so stark sein, wie Sie wollen, aber wenn das Mobilfunknetz Informationen ausspäht, liegt das außerhalb der Kontrolle des Telefons und von Apple. Firmen wie Circles werben sehr aktiv damit, dass sie den Standort eines Telefons über SS7 verfolgen können.”
Nohl geht davon aus, dass jeder Spyware-Hersteller Zugang zu SS7-Netzwerken hat. Nohl sagt jedoch, dass Android-Exploits immer ausgefeilter werden und neue Wettbewerber in den Markt eintreten, wodurch diese Tools in die Hände einer wachsenden Anzahl von Kunden gelangen
Ability Inc. eine in Tel Aviv ansässige Spyware-Firma verkauft etwas namens Ultimate Interception System (ULIN), das zusammen mit einem taktischen zellularen Abhörsystem namens IBIS (In-Between Interception System) Ability ermöglicht, GSM-, UMTS-, LTE- UND CDMA-Netzwerke abzufangen, um das Smartphone einer Zielperson auszuspionieren. Mexiko gab 2016 42 Millionen Dollar für ULIN und andere Tools aus, aber Ability hat auch Kunden in China, Singapur, Myanmar, der Tschechischen Republik, Deutschland und anderen Ländern. Auf der Website des Unternehmens heißt es, dass zu den Kunden Sicherheits- und Nachrichtendienste, Streitkräfte, Strafverfolgungsbehörden und Heimatschutzbehörden in über 50 Ländern gehören.
Verint welche Niederlassungen in Melville, New York, Herzliya und Israel hat stand 2018 kurz davor die NSO Group für eine Milliarde Dollar zu kaufen, bevor die Gespräche scheiterten. Das Unternehmen ist vor allem für seine Sicherheitskameras und Systeme bekannt die es Unternehmen ermöglichen, Arbeitsplätze zu überwachen. Verint verkauft auch ausgeklügelte Überwachungswerkzeuge für die Massenkommunikation einschließlich Software zur Verfolgung von Smartphones an Regierungs- und Unternehmenskunden. Die SkyLock-Technologie von Verint kann beispielsweise den Standort von Smartphone-Nutzern verfolgen, indem sie das SS7-Protokoll hackt. wie aus einer vertraulichen Broschüre hervorgeht, die 60 Minutes im Jahr 2016 erhielt.
Wie eine Reihe bekannter Spyware-Firmen hat Verint Smartphone-Schnüffelsysteme an Regierungen mit höchst fragwürdiger Menschenrechtsbilanz verkauft z. B. an die Vereinigten Arabischen Emirate (VAE), den Südsudan und Mexiko.
Ein anonymer ehemaliger Verint-Mitarbeiter erzählte Haaretz im vergangenen Jahr, dass die Telefonüberwachungstechnologie von Verint verwendet wurde, um Schwule und Transgender in Aserbaidschan zu überwachen.
Um mit Konkurrenten wie der NSO Group und Verint Systems zu konkurrieren, hat eine Reihe von Überwachungs-Startups kürzlich ein Konsortium gegründet. Unter dem Namen Intellexa zielt diese Allianz darauf ab “ein One-Stop-Shop für alle Bedürfnisse unserer Kunden im Bereich der Feldintelligenz-Erfassung” zu werden – das Bedürfnis ist natürlich die Überwachung von Smart Devices und anderen elektronischen Geräten.
Die Intellexa-Allianz besteht aus den Cyber-Intelligence-Firmen Nexa Technologies (ehemals Amesys), WiSpear und Cytrox. Die “Lawful Intercept“-Lösung von Nexa ermöglicht das Ausspionieren von Sprache und Daten in 2G-, 3G- und 4G-Netzen. Das Unternehmen mit Hauptsitz in Paris und Niederlassungen in Dubai und der Tschechischen Republik bietet auch ein Produkt zum Abhören des Internets an mit dem Benutzer IP-Sonden durchführen können, um Netzwerke mit hoher Datenrate zu analysieren, oder die laut Website Wi-Fi-Sensoren verwenden können, um ein Ziel in mehreren Meilen Entfernung zu erkennen.
Nexa reagierte nicht auf E-Mail-Anfragen nach Kommentaren zu den Fähigkeiten seines Systems. John Scott-Railton – Senior Research bei Citizen Lab sagt jedoch, dass es sich bei den Wi-Fi-Sensoren des Unternehmens wahrscheinlich um eine Funkpeilungstechnologie in Kombination mit Standard-Wi-Fi-Abhörattacken handelt.
Der Intellexa-Partner WiSpear ist ein neuerer Einstieg in den Markt für offensive Cyberwaffen. WiSpear wurde 2017 in Israel gegründet, hat aber seinen Sitz in Zypern. Das Unternehmen verkauft einen speziell ausgestatteten Transporter namens SpearHead, der mit 24 Antennen ausgestattet ist, welche das Telefon oder den Computer eines Ziels zwingen können, sich mit seinem Wi-Fi-basierten Abfanggerät in einer Entfernung von bis zu 1.640 Fuß zu verbinden. Nach der Durchführung eines “Man-in-the-Middle”-Angriffs kann SpearHead vier verschiedene Arten von Malware auf iOS und Android herunterladen.
Der Gründer von WiSpear Tal Dilian ein Veteran der israelischen Verteidigungskräfte, ist auch der Gründer von Circles, einem Cyberwaffenunternehmen mit Sitz in Zypern und Bulgarien, das mit der NSO Group fusionierte als beide Unternehmen im Besitz von Francisco Partners waren. Der andere öffentliche Intellexa-Partner, Cytrox, ist ein europäisches Unternehmen das Exploits entwickelt die auf die intelligenten Geräte eines Benutzers abzielen und in diese eindringen können. Das Unternehmen, das sich laut seiner Website derzeit im Stealth-Modus befindet, wurde 2018 von WiSpear übernommen. Dilian teilte vor Veröffentlichung mit, dass es neben den drei Unternehmen fünf weitere nicht öffentliche Partner in Intellexa gibt.
“Aufklärungs-Teams im Außendienst müssen darauf vorbereitet sein, jede Herausforderung zu meistern”, so Dilian in der Intellexa-Pressemitteilung vom 16. Februar, in der die Allianz angekündigt wurde. “Sie müssen in der Lage sein, schwer zugängliche Bereiche zu erreichen und jedes Gerät erfolgreich abzufangen. Damit ihnen das gelingt, brauchen sie eine vielseitige Plattform – tragbar, auf einem Fahrzeug montiert oder aus der Luft – mit einer umfassenden Auswahl an Funktionen, je nach dem jeweiligen Betriebsszenario.
Intellexa wurde gegründet, um genau das zu ermöglichen. Intellexa konnte nicht für einen Kommentar zu seinen “luftgestützten” Spionagefähigkeiten erreicht werden. Scott-Railton sagt, dass Drohnen und andere Flugzeuge, die mit Abfangtechnologie ausgestattet sind für Unternehmen von Vorteil wären. “[Drohnen und Flugzeuge] sind eigentlich der beste Weg, da man sie über Sichtverbindung bekommt”, sagt er. “Bodengestützte Systeme haben eine viel geringere Reichweite.”
Eine weitere, weniger bekannte Spyware-Firma ist Rayzone, ein israelisches Unternehmen das Dienste wie Standortverfolgung und Big-Data-Analyse sowie ein “Trojanersystem für mobile Geräte” anbietet, welches sie an Regierungen und Bundesbehörden verkauft. Auf der Website von Rayzone wird Malware erwähnt mit der Kunden Smartphone-Informationen wie Dateien, Fotos, Web-Browsing, E-Mails, Standort, Skype-Konversationen und andere Daten sammeln können. Das Unternehmen rühmt sich auch damit, dass seine Malware SMS und andere Instant-Messaging-Dienste, einschließlich WhatsApp, ausspionieren kann.
Viele der oben genannten Spyware-Unternehmen verdienen ihr Geld mit Verträgen in Übersee, oft unter der Schirmherrschaft der Exportkontrollen ihrer Regierungen, aber es gibt mehrere Unternehmen mit mehr inländischen Agenden. In den Vereinigten Arabischen Emiraten befindet sich beispielsweise Dark Matter eine Cybersicherheitsfirma in der Project Raven untergebracht ist, ein Team von Geheimagenten von denen einige zuvor für US-Geheimdienste wie die National Security Agency (NSA) gearbeitet haben. Reuters berichtete im Januar, dass Raven-Mitarbeiter in den letzten Jahren eine Cyberspionage-Plattform namens Karmas nutzten, die die iPhones von Aktivisten und politischen Führern sowie mutmaßlichen Terroristen hacken kann.
Eine der Reuters-Quellen Lori Stroud, welcher früher beim NSA-Auftragnehmer von Booz Allen Hamilton war erfuhr in einem Briefing, dass Raven die offensive, operative Abteilung der NESA (National Electronic Security Authority, jetzt Signals Intelligence Agency genannt) der VAE ist, die der NSA entspricht. Während Raven Karma verwendete, um regionale Rivalen wie Katar und den Iran auszuspionieren, wurde die Malware Berichten zufolge auch eingesetzt, um VAE-Bürger ins Visier zu nehmen die offen kritisch gegenüber der Monarchie eingestellt waren.
Anonyme Quellen sagten dem Intercept, dass die Mitarbeiter von Dark Matter darüber diskutiert hatten, die Mitarbeiter der Publikation zu hacken, nachdem die Reporterin Jenna McLaughlin in einer Intercept-Geschichte enthüllt hatte, wie die in Maryland ansässige Computersicherheitsfirma CyberPoint geholfen hatte, ein Team von amerikanischen Spionen und Hacking-Tools für das Projekt Raven zusammenzustellen.
Jenseits des Mittelmeers vertreibt die italienische Firma eSurv eine Android-Spyware-Plattform mit dem Spitznamen “Exodus”. Im März sagten Forscher der Überwachungsorganisation Security Without Borders, dass sie zwischen 2016 und Anfang 2019 25 bösartige Apps gefunden haben, die von eSurv in den Google Play Store hochgeladen wurden, wo sie als Anwendungen von Mobilfunkbetreibern getarnt waren. “Laut öffentlich zugänglichen Statistiken sowie der Bestätigung von Google sammelten die meisten dieser Apps jeweils ein paar Dutzend Installationen, wobei ein Fall über 350 erreichte”, berichtete Security Without Borders.
Die Recherchen von Security Without Borders ergaben, dass Exodus mit “umfangreichen Erfassungs- und Abhörfunktionen” ausgestattet sind und dass einige durch die Spyware ausgelöste Modifikationen “die infizierten Geräte einer weiteren Kompromittierung oder Datenmanipulation aussetzen könnten”. Italienische Behörden leiteten in den Wochen vor dem Bericht von Security Without Borders eine Untersuchung gegen eSurv und ein verwandtes Unternehmen STM ein. Als Teil der Untersuchung sagten die Staatsanwälte, sie hätten die Infrastruktur von eSurv abgeschaltet.
Im März berichtete die New York Times, dass der Markt für “Lawful Intercept Spyware” einen geschätzten Wert von 12 Milliarden US-Dollar hat. Das in London ansässige Marktforschungsunternehmen Technavio hingegen schätzt den Markt für “Lawful Intercept” auf 1,3 Milliarden Dollar und stellt fest, dass ein wichtiger Treiber für den Markt eine “zunehmende Anzahl von Regierungsinitiativen … zur verstärkten Nutzung von “Lawful Interception” für die regelmäßige Überwachung und Kontrolle von kriminellen, terroristischen und anderen illegalen Aktivitäten über Kommunikationsnetzwerke ist.” Mit mehr Spyware-Tools und Abhörinitiativen der Regierung wird das Missbrauchspotenzial sehr wahrscheinlich zunehmen, sagt Scott-Railton.
“Das heißt, während die neuen Marktteilnehmer den Investoren hinterherjagen, ist es ziemlich klar, dass sich viele Investoren wegen der Risiken, die diese Unternehmen eingehen, unwohl fühlen“, sagt er.
Novalina Capital, die Private-Equity-Firma, die kürzlich die NSO Group von Francisco Partners gekauft hat, hat sich in den letzten Monaten für Pegasus Menschenrechtsbilanz stark gemacht. Da die NSO Group mehreren Klagen mutmaßlicher Opfer in Kanada und Mexiko ausgesetzt ist, hat Novalpina versucht, die Nerven der Anleger mit einer PR-Kampagne zu beruhigen, bei der sie sich mit Menschenrechtsgruppen befassen und eine strengere interne Aufsicht zusagen. NSO ist “bereits relativ freizügig in Bezug auf den Einsatz seiner Technologie für das, was Europäer als Menschenrechtsverletzungen betrachten würden”, sagt Nohl.
In der Zwischenzeit bleibt das rechtliche Terrain rund um die so genannten “Lawful Intercept Tools” undurchsichtig und größtenteils unkontrolliert. Wie eine Gruppe von Anwälten und Jurastudenten kürzlich auf Just Security schrieb: “Bis heute haben wir weder die nationalen rechtlichen Rahmenbedingungen, die den Verkauf und Einsatz von Spyware regeln, noch die Selbstregulierung der Industrie die Missbräuche effektiv verhindern können”.
David Kaye, der Sonderberichterstatter der Vereinigten Staaten für freie Meinungsäußerung, forderte kürzlich ein Moratorium für den Verkauf von Überwachungssoftware. “Es hat sich gezeigt, dass die Überwachung bestimmter Personen – häufig Journalisten, Aktivisten, Oppositionelle, Kritiker und andere, die ihr Recht auf freie Meinungsäußerung ausüben – zu willkürlicher Inhaftierung, manchmal zu Folter und möglicherweise zu außergerichtlichen Morden führt”, schrieb er in einem Bericht an den UN-Menschenrechtsrat. “Die Staaten sollten ein sofortiges Moratorium für den Export, Verkauf, Transfer, die Verwendung oder den Service von privat entwickelten Überwachungsinstrumenten verhängen, bis ein menschenrechtskonformes Schutzsystem eingeführt ist.”
Nohl weist darauf hin, dass eine vollkommen legale Tätigkeit in einem Land in einem anderen Land durchaus kriminell sein kann, insbesondere was Spionage und Strafverfolgung betrifft. Er sagt, dass sich viele Länder vollkommen berechtigt fühlen werden, mobile Spyware-Technologien als Werkzeuge der politischen Unterdrückung einzusetzen, weil ihre Gesetze ihnen diese Macht tatsächlich gewähren.
Und die Unternehmen werden ihnen weiterhin Waffen verkaufen.
Während NSO und andere israelische Anbieter derzeit den Markt dominieren, ist dies möglicherweise nicht immer der Fall. „Die NSO Group ist so phänomenal profitabel, dass jemand anderes in diesen Markt eindringen muss“, sagt Nohl. “Und der nächste Konkurrent könnte ein russischer, chinesischer oder sogar nordkoreanischer Anbieter sein, der möglicherweise noch weniger Probleme mit einem noch größeren Kundenkreis hat.”
Im Jahr 2019 haben wir mehr als 20 Spyware-Apps der Regierung identifiziert, die sich als harmlose Vanilla-Apps im Google Play Store tarnten. Diese Apps waren nur Köder, um die Regierungsspyware Exodus auf die Telefone der Ziele zu installieren. In einem zweistufigen Prozess haben sie Listen installierter Apps, Browserverlauf, Kontaktlisten zahlreicher Apps, Textnachrichten – einschließlich verschlüsselter Texte – Standortdaten sowie App- und Wi-Fi-Passwörter erstellt. Die Malware konnte auch Kameras und Mikrofone aktivieren, um sowohl Audio als auch Video aufzunehmen und Screenshots von Apps zu machen, während diese verwendet wurden. Diese Spyware stammte von einer italienischen Überwachungsfirma namens eSurv und obwohl sie gut darin war, die Telefone anderer Leute zu hacken, war sie schlecht darin, ihre eigenen Daten zu sichern. Die Spyware öffnete eine Remote-Befehlsshell auf den infizierten Telefonen, verwendete aber keinerlei Verschlüsselung oder Authentifizierung, sodass jeder der sich im selben Wi-Fi-Netzwerk wie das infizierte Gerät befand, eindringen und es hacken konnte.
Es war diese schlampige Sicherheit, die die Behörden zu einer verblüffenden Entdeckung geführt hat: Wie Bloomberg Anfang des Monats berichtete, haben eSurv-Mitarbeiter angeblich unwissende, unschuldige italienische Bürger mit der leistungsstarken Überwachungstechnologie ausspioniert.
Angeblich taten sie das mit viel Fingerspitzengefühl: Laut Gerichtsdokumenten, die von Bloomberg eingesehen wurden, spielten eSurv-Mitarbeiter heimlich aufgezeichnete Telefongespräche im Büro laut vor. Das Unternehmen verkaufte seine Spionagesoftware an Strafverfolgungsbehörden, jedoch schloss eSurv angeblich auch einen Deal mit einer Firma ab, die mit der Mafia ‘Ndrangheta in Verbindung stehen soll.
Die Spionage-App
Der Mann hinter Exodus ist der italienische Entwickler Diego Fasano. Nachdem er erfolgreich eine App entwickelt hatte mit der Ärzte Krankenakten einsehen können, riet ihm ein Freund ins Überwachungsgeschäft einzusteigen, wo Ermittler händeringend nach Hilfe beim Eindringen in die verschlüsselte Kommunikation von Messaging-Apps wie WhatsApp und Signal suchen. Im Jahr 2014 gründete er eSurv das Überwachungstechnologie an Polizei und Geheimdienste verkauft.
So funktionierte es: Mit Hilfe der italienischen Telekommunikationsunternehmen verleitete das Unternehmen Menschen dazu, eine scheinbar harmlose App herunterzuladen, die angeblich Netzwerkfehler auf ihrem Telefon beheben würde. Fasano sagte, dass die Polizei in Zusammenarbeit mit den Mobilfunknetzen den Datendienst der Zielperson abschalten würde.
Als Nächstes schickten sie die Anweisung, über WLAN eine App herunterzuladen, um den Dienst wiederherzustellen. Die App sollte so aussehen, als ob sie mit Telekommunikationsanbietern verbunden wäre, mit Namen wie “Operator Italia”.
Der wahre Zweck: den Strafverfolgungsbehörden Zugriff auf das Mikrofon, die Kamera, gespeicherte Dateien und verschlüsselte Nachrichten eines Geräts zu geben.
Fasano verkaufte Exodus an Staatsanwaltschaften im ganzen Land, darunter auch an den Auslandsnachrichtendienst des Landes, L’Agenzia Informazioni e Sicurezza Esterna.
Ein Sicherheitsfehler führte jedoch zum Verhängnis von Exodus. Nach Angaben der Behörden nutzte eine Staatsanwaltschaft in der Stadt Benevento im Jahr 2018 Exodus, um die Telefone von Verdächtigen in einer Untersuchung zu hacken. Im Oktober bemerkte ein Techniker, dass die Netzwerkverbindung immer wieder ausfiel.
Nach einigen Nachforschungen fand der Techniker heraus, dass Exodus nicht von einem sicheren internen Server arbeitete, auf den nur die Staatsanwaltschaft von Benevento Zugriff hatte, wie es eigentlich vorgesehen war. Vielmehr stellte es eine Verbindung zu einem Server her, der für jeden im Internet zugänglich und nur durch einen Benutzernamen und ein Passwort geschützt war.
Dies bedeutete, dass Daten die von italienischen Staatsanwälten im Rahmen einiger der sensibelsten Ermittlungen des Landes – von Mafia-Fällen, Terrorfällen und Korruptionsfällen – verdeckt von Telefonen der Verdächtigen gesammelt wurden, von Hackern abgefangen werden konnten. Dazu gehörten Tausende von Fotos, Aufzeichnungen von Gesprächen, privaten Nachrichten und E-Mails, Videos und anderen Dateien, die von gehackten Telefonen und Computern gesammelt wurden – insgesamt etwa 80 Terabyte Daten oder etwa 40.000 Stunden HD-Video, die unverschlüsselt gespeichert wurden. Es stellte sich heraus, dass es sich um einen Amazon Web Services-Server in Oregon handelt.
Die Behörden wissen nicht, ob dieser Server jemals gehackt wurde.
Die Staatsanwaltschaft erhob gegen eSurv Strafanzeige wegen rechtswidriger Erhebung und Speicherung privater Mitteilungen, Weiterleitung nach Übersee und mangelnder Aufbewahrung sicherer „sensibler personenbezogener Daten gerichtlicher Art“.
In der Zwischenzeit wurden Fasano und ein weiterer eSurv-Manager, Salvatore Ansani, wegen Betrugs, unbefugten Zugriffs auf ein Computersystem, unerlaubten Abhörens und unerlaubter Datenverarbeitung angeklagt. Nachdem sie drei Monate lang unter Hausarrest standen, wurden sie wieder freigelassen und warten nun auf die nächste Phase ihres Gerichtsverfahrens, die wahrscheinlich zu einem Prozess führen wird.
Weitere Untersuchungen ergaben, dass ein Teil der 20 Mitarbeiter von eSurv – die sich der Arbeit an Exodus widmeten und sich unter der Leitung von Ansani “The Black Team” nannten – die Spionagesoftware dazu nutzten, gesetzestreue italienische Bürger ins Visier zu nehmen, die in den Ermittlungen nie als Verdächtige genannt wurden. Nichtsdestotrotz wurden die Telefone dieser Bürger abgehört und ihre Privatgespräche aufgezeichnet, aus Gründen, die laut Behörden noch unbekannt sind.
Laut Polizeidokumenten bespitzelte das Black Team mehr als 230 Personen, die von der Polizei nicht überwacht werden durften. Einige dieser Personen wurden in den internen Akten von eSurv als “The Volunteers” bezeichnet – mit anderen Worten, sie waren möglicherweise unwissentliche Versuchskaninchen.
Die Ermittler durchkämmen immer noch die riesige Menge an Daten, die sie bei eSurv beschlagnahmt haben, während sie versuchen, den Zweck der illegalen Datensammlung herauszufinden. War es für Erpressung gedacht? Zum Spaß? Zum Spionieren? Für die illegale Überwachung im Auftrag der Mafia?
Zu diesem Zeitpunkt wurde ein Staatsanwalt – Eugenio Facciolla, der im Zentrum eines Korruptionsskandals steht – angeklagt, Dokumente gefälscht zu haben, um eine polizeiliche Untersuchung einer von der ‘Ndrangheta geführten illegalen Abholzungsaktion zu behindern oder in die Irre zu führen, bei der Tausende von Bäumen in einigen italienischen Nationalparks gefällt wurden.
Im November sagte die Agentur, die Ernennungen von Staatsanwälten handhabt, dass sie Facciolla von seinem Büro in Castrovillari entfernt, mit der Begründung, dass er “seine Funktionen missbraucht” hat. Facciolla geht gegen die Entscheidung in Berufung. Ja, sagt er, er habe Exodus an andere Firmen geliefert, aber, so sein Anwalt, Vincenzo Ioppoli, die Spyware sei “wie eine Waffe. Wenn man sie einmal verkauft hat, weiß man nicht, wie sie verwendet wird”.
Führungskräfte von “eSurv” wurden in Italien im Zuge des Exodus-Spyware-Falls verhaftet.
Unsere Antwort auf Exodus: Eine einfache und doch leistungsstarke Lösung
Durch die Firmware-Architektur ist die Remotecode-Ausführung standardmäßig blockiert. Auf diese Weise können keine anderen Apps (außer den vorinstallierten) auf dem Stealth Phone installiert werden, auch nicht vom Benutzer selbst. Außerdem haben wir sogar jegliche App-Aktualisierung blockiert, da wir herausgefunden haben, dass Spionage-Apps durch böswillige App-Aktualisierung gepusht werden können.
FinSpy ist eine praxiserprobte Fernüberwachungslösung, welche es Regierungen ermöglicht die aktuellen Herausforderungen bei der Überwachung von mobilen und sicherheitsrelevanten Zielpersonen zu bewältigen, welche regelmäßig ihren Standort wechseln, verschlüsselte und anonyme Kommunikationskanäle nutzen und sich im Ausland aufhalten. FinSpy ermöglicht den Zugriff auf Informationen wie Kontakte, SMS/MMS-Nachrichten, Kalender, GPS-Standort, Bilder, Dateien im Speicher und Aufzeichnungen von Telefongesprächen. Alle exfiltrierten Daten werden über SMS-Nachrichten oder über das Internet an den Angreifer übertragen. Persönliche Daten, einschließlich Kontakte, Nachrichten, Audios und Videos, können von den meisten gängigen Messengern exfiltriert werden.
Laut Informationen auf der offiziellen Website bietet FinFisher neben anderen Tools und Diensten eine “strategische, weitreichende Abhör- und Überwachungslösung”. Diese Software (auch bekannt als FinSpy) wird verwendet, um eine Vielzahl von privaten Benutzerinformationen auf verschiedenen Plattformen zu sammeln.
Seine Implantate für Desktop-Geräte wurden erstmals 2011 von Wikileaks beschrieben und mobile Implantate wurden 2012 entdeckt. Seitdem hat XCell Technologies die Entwicklung dieser Malware und das Auftauchen neuer Versionen in der freien Wildbahn kontinuierlich überwacht. Laut unserer Telemetrie wurden im vergangenen Jahr mehrere Dutzend einzelne mobile Geräte infiziert, wobei die jüngste Aktivität im Juni 2019 in Myanmar verzeichnet wurde. Ende 2018 untersuchten die Experten von XCell Technologies die funktionell neuesten Versionen von FinSpy-Implantaten für iOS und Android, die Mitte 2018 erstellt wurden. Die mobilen Implantate für iOS und Android haben fast die gleiche Funktionalität. Sie sind in der Lage, persönliche Informationen wie Kontakte, SMS/MMS-Nachrichten, E-Mails, Kalender, GPS-Standort, Fotos, Dateien im Speicher, Aufzeichnungen von Telefongesprächen und Daten aus den gängigsten Messengern zu sammeln.
Spyware-Funktionen
Das Android-Implantat ist in der Lage, Root-Rechte auf einem nicht gerooteten Gerät zu erlangen, indem es den DirtyCow-Exploit missbraucht, der in der Spyware enthalten ist. FinSpy Android-Samples sind bereits seit einigen Jahren bekannt. Basierend auf den Zertifikatsdaten der zuletzt gefundenen Version wurde das Sample im Juni 2019 bereitgestellt.
Es ist unwahrscheinlich, dass sich die Funktionalität des Android-Implantats wesentlich ändert, da die meisten Konfigurationsparameter in der alten und neuen Version gleich sind. Die Vielfalt der verfügbaren Einstellungen macht es möglich, das Verhalten des Implantats für jedes Opfer individuell anzupassen. Beispielsweise können die Betreiber die bevorzugten Kommunikationskanäle auswählen oder Datenübertragungen automatisch deaktivieren, während sich das Opfer im Roaming-Modus befindet. Alle Konfigurationsdaten für ein infiziertes Android-Gerät (einschließlich des Standorts des Steuerservers) werden in das Implantat eingebettet und anschließend verwendet, aber einige der Parameter können vom Bediener aus der Ferne geändert werden. Die Konfigurationsdaten werden in einem komprimierten Format gespeichert, aufgeteilt in eine Reihe von Dateien im Verzeichnis “assets” der Implantat-apk. Nachdem alle Daten extrahiert und die Konfigurationsdatei erstellt wurde, können alle Konfigurationswerte abgerufen werden. Jeder Wert in der Konfigurationsdatei wird nach dem Little-Endian-Wert seiner Größe gespeichert, und der Einstellungstyp wird als Hash gespeichert.
Beispielsweise können die folgenden interessanten Einstellungen, die in der Konfigurationsdatei des Entwickler-Builds des Implantats gefunden werden, markiert werden: mobile Ziel-ID, Proxy-IP-Adresse, Proxy-Port, Telefonnummer für die SMS-Fernsteuerung, eindeutige Kennung des installierten Implantats.
Wie im Fall des iOS-Implantats kann die Android-Version manuell installiert werden, wenn der Angreifer physischen Zugriff auf das Gerät hat, sowie über Remote-Infektionsvektoren: SMS-Nachrichten, E-Mails und WAP-Push. Nach erfolgreicher Installation versucht das Implantat, Root-Rechte zu erlangen, indem es auf das Vorhandensein der bekannten Root-Module SuperSU und Magisk prüft und diese ausführt. Wenn keine Utilities vorhanden sind, entschlüsselt das Implantat den DirtyCow-Exploit, der sich innerhalb der Malware befindet, und führt ihn aus. Wenn es erfolgreich gelingt, Root-Zugriff zu erlangen, registriert das Implantat eine benutzerdefinierte SELinux-Richtlinie, um vollen Zugriff auf das Gerät zu erhalten und den Root-Zugriff beizubehalten. Wenn es SuperSU verwendet hat, ändert das Implantat die SuperSU-Einstellungen, um es zum Schweigen zu bringen, deaktiviert sein Ablaufdatum und konfiguriert es so, dass es beim Booten automatisch gestartet wird. Außerdem löscht es alle möglichen Protokolle, einschließlich der SuperSU-Protokolle. Das Implantat ermöglicht den Zugriff auf Informationen wie Kontakte, SMS/MMS-Nachrichten, Kalender, GPS-Standort, Bilder, Dateien im Speicher und Aufzeichnungen von Telefongesprächen. Alle exfiltrierten Daten werden per SMS-Nachrichten oder über das Internet an den Angreifer übertragen (der Standort des C2-Servers ist in der Konfigurationsdatei gespeichert). Persönliche Daten, einschließlich Kontakte, Nachrichten, Audios und Videos, können von den meisten gängigen Messengern exfiltriert werden. Jeder der anvisierten Messenger verfügt über ein eigenes, vereinheitlichtes Handling-Modul, das es einfach macht, bei Bedarf neue Handler hinzuzufügen.
Die vollständige hartkodierte Liste der unterstützten Messenger ist unten aufgeführt:
com.bbm ……….BBM(BlackBerry Messenger)
com.facebook.orca ………. Facebook Messenger
com.futurebits.instamesssage.free ……….InstaMessage
jp.naver.line.android ……….Line Messenger
org.thoughtcrime.securesms ……….Signal
com.skype.raider ……….Skype
org.telegram.messenger ……….Telegram
ch.threema.app ……….Threema
com.viber.voip ……….Viber
com.whatsapp ……….WhatsApp
Zunächst prüft das Implantat, ob der anvisierte Messenger auf dem Gerät installiert ist (unter Verwendung eines fest codierten Paketnamens) und ob Root-Zugriff gewährt wird. Danach wird die Datenbank des Messengers für die Datenexfiltration vorbereitet. Bei Bedarf kann sie mit dem privaten Schlüssel, der in ihrem privaten Verzeichnis gespeichert ist, entschlüsselt werden, und alle benötigten Informationen können einfach abgefragt werden:
Infrastruktur
FinSpy-Implantate werden durch den FinSpy-Agenten (Bedienterminal) gesteuert. Standardmäßig sind alle Implantate mit FinSpy-Anonymisierungs-Proxys (auch als FinSpy-Relays bezeichnet) verbunden, die vom Spyware-Anbieter bereitgestellt werden. Dies geschieht, um den tatsächlichen Standort des FinSpy Master zu verbergen. Sobald das infizierte Zielsystem online erscheint, sendet es einen Heartbeat an den FinSpy Proxy. Der FinSpy Proxy leitet Verbindungen zwischen Zielsystemen und einem Master-Server weiter. Der FinSpy Master-Server verwaltet alle Ziele und Agenten und speichert die Daten. Anhand der entschlüsselten Konfigurationsdateien konnten unsere Experten die verschiedenen von den Opfern verwendeten Relays und deren geografische Lage ermitteln. Die meisten der von uns gefundenen Relays sind in Europa konzentriert, einige in Südostasien und den USA.
Fazit
FinSpy-Mobilimplantate sind fortschrittliche bösartige Spionagetools mit vielfältigen Funktionen. Verschiedene Konfigurationsmöglichkeiten, die der Spyware-Anbieter in seinem Produkt bereitstellt, ermöglichen es den Betreibern des FinSpy-Terminals (FinSpy Agent), das Verhalten jedes Implantats auf ein bestimmtes Opfer abzustimmen und eine effektive Überwachung durchzuführen, wobei sensible Daten wie GPS-Standort, Kontakte, Anrufe und andere Daten aus verschiedenen Instant Messengern und dem Gerät selbst exfiltriert werden.
Das Android-Implantat verfügt über Funktionen, um Root-Rechte auf einem nicht gerooteten Gerät zu erlangen, indem bekannte Sicherheitslücken missbraucht werden. Was die iOS-Version betrifft, scheint es, dass diese Spyware-Lösung keine Infektions-Exploits für ihre Kunden bereitstellt, da ihr Produkt darauf abgestimmt zu sein scheint, Spuren von öffentlich verfügbaren Jailbreaking-Tools zu beseitigen. Das könnte in Fällen, in denen die Geräte nicht bereits jailbroken sind, einen physischen Zugriff auf das Opfer bedeuten. Gleichzeitig sind mehrere Funktionen implementiert, die wir bei Malware, die für diese Plattform entwickelt wurde, noch nicht beobachtet haben.
Seit dem Leck im Jahr 2014 haben die FinSpy-Entwickler wesentliche Teile ihrer Implantate neu erstellt, die unterstützten Funktionen erweitert (zum Beispiel wurde die Liste der unterstützten Instant Messenger deutlich erweitert) und gleichzeitig die Verschlüsselung und Verschleierung verbessert (wodurch es schwieriger wurde, die Implantate zu analysieren und zu erkennen), wodurch es möglich war, seine Position auf dem Markt zu halten.
Insgesamt wurden bei der Untersuchung aktuelle Versionen dieser Implantate, die in freier Wildbahn eingesetzt werden, in fast 20 Ländern entdeckt, obwohl die Gesamtzahl höher sein könnte.
Die FinSpy-Entwickler arbeiten ständig an Updates für ihre Malware. Zum Zeitpunkt der Veröffentlichung haben die Forscher von XCell Technologies eine weitere Version der Bedrohung gefunden und untersuchen derzeit diesen Fall.
Unsere Lösung
FinSpy umgeht 40 regelmäßig getestete Antiviren-Apps. Daher macht es keinen Sinn, ein Antivirus zu installieren. XCell Technologies hat sich für eine andere effektive Lösung entschieden, um die Installation von Malware und schädlicher Software zu umgehen. Es gibt einen FinSpy-Erkennungsalgorithmus, der tief in der XROM-Firmware installiert ist und nicht nur jeden Einbruchsversuch erkennt, sondern auch jede Code-Ausführung blockiert. Lokale HTTP-Ports, die von FinSpy verwendet werden, wurden blockiert: :8999 und :8899.
XStealth-Anwender sollten also keine Angst vor Überwachungssoftware in Regierungsqualität haben.
Pegasus ist eine Spyware, die auf Geräten installiert werden kann, auf denen bestimmte Versionen von iOS, Apples mobilem Betriebssystem, ausgeführt werden, das von der israelischen Cyberarms-Firma NSO Group entwickelt wurde. Android OS ist weniger anfällig als iOS, wenn es um Pegasus geht (auch bekannt als Chrysaor für Android).
Wenn Sie auf einen böswilligen Link klicken, aktiviert Pegasus heimlich einen Jailbreak auf iOS-Geräten und kann Textnachrichten lesen, Anrufe verfolgen, Passwörter sammeln, den Telefonstandort verfolgen sowie Informationen von Apps sammeln, einschließlich (aber nicht beschränkt auf) iMessage, Gmail, Viber, Facebook, WhatsApp, Telegramm und Skype. Pegasus kann sich also nicht selbst installieren (wie FinSpy Mobile): Benutzerinteraktion erforderlich.
Pegasus für Android (Chrysaor) verlässt sich nicht auf Zero-Day-Schwachstellen. Stattdessen verwendet es eine bekannte Rooting-Methode namens Framaroot. Auf XROM (unserer proprietären Firmware) haben wir die ausführbare Datei und die Ports von Framaroot blockiert. Das war einfacher als das Blockieren von FinSpy Mobile.
Keine Sorge: Pegasus ist keine Bedrohung für unsere Android Ultra Secure Stealth Phones und auch nicht für andere XCell Stealth Phones. Die anderen, die zu 100% mit proprietärer Firmware laufen, sind ebenfalls zu 100% immun: keine apk-Dateien können auf Feature Phones installiert werden.
Was ist ULIN eigentlich?
Wir würden sagen, dass ULIN (Ultimate Interception) nichts anderes als eine gut durchgeführte Marketingkampagne ist, die auf einer sehr alten Abhörmethode basiert: SS7. Nichts Neues, nichts Außergewöhnliches im Vergleich zu anderen SS7-Abhörlösungen die bereits auf dem Markt sind wie z.B. das ältere, aber leistungsfähige SkyTrack.
Verint ein weiteres israelisches Unternehmen, hat bereits 2013 SkyJack und SkyLock auf den Markt gebracht, welches eine SS7-Lösung für Abhörmaßnahmen und zur Standortverfolgung sind.
Zu dieser Zeit gab es keinen bekannten SS7-Exploit, der jetzt von ULIN verwendet wird, also musste Verint im mobilen Kernnetz eine sogenannte SS7-Box installieren, die mit den internen Servern des Betreibers verbunden ist, auf denen HLR-VLR-Dienste laufen. Und das tat Verint mit Hilfe von Sicherheits- und Heimatschutzbehörden rund um den Globus, die daran interessiert waren, solche Systeme zu betreiben. Und sie haben es gut gemacht.
Das Neue, was ULIN mitbringt, ist ein neuer SS7-Exploit, der Remote-Exploits ermöglicht, ohne dass eine SS7-Box auf dem mobilen Netzwerkkern installiert ist.
Auch der Preis ist ein außergewöhnlicher, die Monetarisierung des neuen SS7-Exploits begründet: Das ULIN-System ist derzeit für 20 Millionen US-Dollar erhältlich und kann Anrufe, Texte und den Standort von praktisch jedem Mobiltelefon auf der ganzen Welt identifizieren.
Letztes Jahr wurde aufgedeckt, dass Circles Bulgaria und zwei andere israelische Firmen, Rayzone und CleverSig, SS7-Exploit-Pakete verkauften, obwohl es wenig Details darüber gab, was genau sie anboten oder für wie viel.
ULIN wurde bereits 2015 als Abhörlösung eingeführt, mit der Regierungsbehörden fast überall auf der Welt Fernkommunikation abfangen können. ULIN ermöglicht das rechtmäßige Abfangen von Sprachanrufen, SMS-Nachrichten und Anrufer bezogenen Informationen von GSM / UMTS / LTE-Telefonen, ohne dass das abgefangene Telefon in der Nähe sein muss und ohne die Zustimmung der Mobilfunknetzbetreiber, und erfordert nur die Telefonnummer oder IMSI des Mobilgeräts.
ULIN ist ein junges Produkt, das möglicherweise noch nicht weit verbreitet ist. Laut dem Ergebnisdokument von May hat Ability bisher nur ein ULIN-Produkt am unteren Ende der Preisskala verkauft, jedoch haben sie “Anfragen von einer Reihe bestehender und potenzieller Kunden erhalten.” Dieser erste Kunde, der keine grenzüberschreitende Ausbeutung vornimmt, sondern sich auf Ziele im eigenen Land konzentriert, wird als Beta-Test behandelt.
Wie kann dieses System solche außergewöhnlichen Leistungen vollbringen?
Es nutzt tatsächlich einen Fehler im Signalisierungssystem Nr. 7 oder SS7 aus, dem internationalen Telekommunikationsstandard, der veranschaulicht, wie Informationen über digitale Netze von öffentlichen Telefonnetzen (PSTN) für Mobiltelefone ausgetauscht werden.
Die „Signalisierungspunkte“ von SS7 und die Knoten, die Out-of-Band-Signalisierung verwenden, um Dienste wie die Anrufweiterleitung zu vereinfachen.
Eine noch unbekannte dritte Partei ist für die Lizenzierung dieser Schwachstelle für Ability und die Bereitstellung von Zugang oder Informationen über den SS7-Fehler verantwortlich. Somit ist das Abhören eines beliebigen Mobiltelefons für die Strafverfolgung leicht möglich, indem man einfach das anvisierte Telefon anzapft.
Wie jedes andere SS7-Abhörsystem basiert auch das ULIN-System auf Schwachstellen des SS7-Protokolls, das bereits 1984 entwickelt wurde und seitdem nur sehr spärlich aktualisiert wurde; das letzte Update stammt aus dem Jahr 1993! Die Schwachstelle betrifft jeden, solange er das Mobilfunknetz nutzt. Selbst wenn ein Benutzer seine Standortdienste auf dem Telefon ausschaltet, können Hacker das Netzwerk immer noch über die Netzwerkdienste einsehen. Regierungen rund um den Globus wussten von der Sicherheitslücke, aber wegen der Vorteile, die sie für sie darstellt, entschieden sie sich, die Sicherheitslücke nicht zu schließen. Die Weltbevölkerung ist dem Risiko ausgesetzt, dass ihre Telefongespräche mit einer bekannten Schwachstelle abgehört werden, nur weil einige Geheimdienste einige Daten erhalten könnten.
Die schlechte Nachricht ist, dass es keine einzige Stelle gibt, an die man sich wenden kann, wenn es um die Sicherheit von SS7 geht, denn die Netzbetreiber sind für ihre eigene Sicherheit verantwortlich, obwohl einige Netze sicherer sind als andere, ist keines gleichgültig gegenüber den Angriffen.
Wie funktioniert der SS7-Fehler?
Der Hacker oder die Strafverfolgungsbehörden, die ein SS7-Abhörsystem verwenden, leiten alle Anrufe an ein Online-Aufzeichnungsgerät weiter und leiten den Anruf dann an den vorgesehenen Empfänger zurück, ein sogenannter Man-in-the-Middle-Angriff. Außerdem können die Bewegungen eines Mobiltelefonbenutzers durch andere Hacking-Tools verfolgt werden. Der Standort des Opfers kann über Google Maps nachverfolgt werden. Der SS7-Fehler ist eigentlich ein offenes Geheimnis unter den Geheimdiensten der Welt. Die entscheidende Schwachstelle liegt im Mobilfunknetz selbst.
Hydra ist eine weitere SS7-Überwachungs und Abhörlösung, entwickelt von HSS Development. Sie nutzt dieselbe Sicherheitslücke des SS7-Protokolls aus, wie SkyTrack, Sky Lock und ULIN.
Da wir cryptoTRACERⓇ auf den meisten unserer XCell Stealth Phones installiert haben, löst ein solches Eindringen jedes Mal einen Alarm aus, wenn ein Telefonanruf und eine SMS abgefangen werden, und jedes Mal, wenn ein Standortverfolgungs-Ping das Stealth Phone trifft.
Obwohl die Firma Ability vorgibt, dass ULIN das erste globale Abhör- und Verfolgungssystem ist, hat Verint ein anderes israelisches Unternehmen, sein SS7-Abhörsystem bereits 2013 auf den Markt gebracht.
Zu dieser Zeit gab es keinen bekannten SS7-Exploit, der jetzt von ULIN verwendet wird. Daher musste Verint im mobilen Kernnetz eine so genannte SS7-Box installieren, die mit den internen Servern des Betreibers verbunden ist, auf denen HLR-VLR-Dienste laufen. Und das tat Verint mit Hilfe von Sicherheits- und Heimatschutzbehörden rund um den Globus, die daran interessiert waren, solche Systeme zu betreiben. Und sie haben es gut gemacht.
Die Probleme entstehen im Jahr 2015, als einige Regierungen herausfanden, dass das gleiche SkyLock-Überwachungssystem von Ihren Feinden gegen sie verwendet werden kann (anderen feindlichen Regierungen und/oder Ländern). Verint SkyLock hat an jede interessierte Regierung ohne Einschränkungen verkauft. Allerdings wird Verint weder den Standort israelischer Abonnenten in Israel noch den von US-Abonnenten im In- oder Ausland preisgeben. Die gleiche Situation ist heute mit ULIN und anderen SS7-basierten Abhörsystemen gegeben.
Im heutigen Angebot von Verint gibt es SkyLock nicht mehr, sondern wird weiterhin von einer anderen ehemaligen Verint-Firma namens Cognyte verkauft und gewartet.
Wie eine Reihe bekannter Spionagefirmen hat Verint Smartphone-Schnüffelsysteme an Regierungen mit höchst fragwürdiger Menschenrechtsbilanz verkauft wie z. B. die Vereinigten Arabischen Emirate (VAE), Südsudan und Mexiko. Ein anonymer ehemaliger Verint-Mitarbeiter erzählte Haaretz im vergangenen Jahr, dass die Telefonüberwachungstechnologie von Verint verwendet wurde, um Schwule und Transgender in Aserbaidschan zu überwachen.
Da wir cryptoTRACER® auf den meisten unserer XCell Stealth Phones installiert haben, löst ein solches Eindringen Warnungen aus, wenn ein Telefonanruf und eine SMS abgefangen werden und jedes Mal wenn ein Ping zur Standortverfolgung auf das Stealth Phone trifft.
cryptoTRACERⓇ
Seit 2016 haben wir cryptoTRACER® auf den meisten unserer Stealth Phones eingeführt welche Warnungen auslösen, wenn Ihre Telefonanrufe und Nachrichten mit SS7-Mitteln abgefangen werden. CryptoTRACER® ist bei der ULIN-Abhörerkennung wirksam, da das System dieselbe SS7-Sicherheitsanfälligkeit verwendet.
Außerdem werden Standortverfolgungs-Pings vom ULIN-System (tragbar oder strategisch) über ein Mobilfunknetz gesendet, wodurch sie auf XCell Stealth Phones als empfangener Standortverfolgungs-Ping angezeigt werden, der zur weiteren Analyse in einer Textdatei gespeichert wird.
Bei XCell Dynamic IMEI Stealth Phones (v1, v2, v3.1, v4, XCrypt und XCell Pro) gibt es eine besondere Art von Warnung, wenn das ULIN-System anrufbezogene Daten sammelt (Datum, Uhrzeit, beteiligte Telefonnummern (bei Konferenzgesprächen) und zugehörige Standortdaten zum Zeitpunkt des Anrufs): Das grüne Schlosssymbol auf dem oberen Startbildschirm flackert ca. 20 Sekunden lang rot/grün, nachdem Sie den Anruf aufgelegt haben, denn dies ist die Zeit die ULIN benötigt, um die oben genannten Daten zu sammeln. Diese erweiterte Funktion wird von ULIN verwendet, um das gesamte Kontaktnetzwerk des Zieltelefons abzubilden, und wird in der Regel vor dem Start des Abhörvorgangs von Sprachanrufen durchgeführt.
Bei XCell Basic v3, XStealth Lite und XStealth bleibt der Anrufbildschirm für etwa 20 Sekunden nach Beendigung des Anrufs in Alarmbereitschaft, als ob der Anruf noch aktiv wäre. Dies ist kein Fehler oder eine Fehlfunktion des Stealth Phones, sondern ein direktes Ergebnis und ein Beweis für das ULIN-System, das anrufbezogene Daten nicht von Ihrem Telefon, sondern vom Mobilfunknetz extrahiert.
