NSA / TAO : le chemin vers vos serveurs

Ne trouvant aucune base de données des différents programmes provenant des fuites de Snowden, nous avons travaillé à la création d'une base de données concernant la NSA et le GCHQ. L'article qui suit est une synthèse d'une partie de nos travaux.

NdM : cet article poursuit la série commencée par NSA-observer — quels sont les programmes de la NSA ?, NSA - temps de faire le (premier) point et Que peut faire le service d'élite JTRIG du GCHQ ?.

Nous (nsa-observer) allons aborder aujourd'hui le "catalogue" du groupe d'élite de la NSA nommé TAO (pour Tailored Access Operations). La mission de ce groupe est, depuis sa création en 1997, d'identifier, de monitorer et de trouver un chemin vers des réseaux ou des systèmes pour collecter des informations. Ce département a gagné la réputation de collecter certains des meilleurs renseignements parmi les services de renseignements US, que ce soit sur la Chine, sur des groupes terroristes, ou sur les activités politiques, militaires et économiques d'un pays.

Sommaire

• • • TAO sort de l'ombre
  • Les programmes
    • Implants logiciels
      • Téléphones
      • Serveurs et firewalls
    • Implants matériels
      • Et les drones ?
  • Mais comment font-ils ?
  • Oui et alors ?
    • Sources
  • TAO - catalogue ANT
    • Tag ANT (NSA) sur nsa-observer.net

Foreignpolicy.com indique que plus de 1000 personnes, civiles et militaires, y travailleraient à partir de 5 bases : ROC (pour Remote Operations Center), basé à Fort Meade (Maryland) qui est entre autres le quartier général de la NSA, Hawaii (Wahiawa, Oahu), Fort Gordon (Georgie), au Texas Cryptologic Center et à la base de l'US Air Force BKF (Denver).

TAO est divisé en quatre départements, chacun spécialisé dans un domaine précis, l'ensemble des équipes travaillant par roulement 24/7 :

• Data Network Technologies (DNT) qui s'occupe de la conception de malwares,
• Telecommunications Network Technologies (TNT) cible spécifiquement les méthodes de pénétrations dans les réseaux et les ordinateurs (bien entendu sans se faire détecter),
• Mission Infrastructure Technologies (MIT) développe et construit les outils de monitoring hardware ainsi que les infrastructures qui permettent de tout supporter.
• Access Technologies Operations (ATO) travaille avec la CIA et le FBI. Ces deux derniers mettant en place des modules de surveillance permettant aux opérateurs de TAO de les utiliser à distance.

TAO sort de l'ombre

Même si les premières informations publiques datent de l'été 2013, cette branche de la NSA est réellement sortie de l'ombre en décembre 2013 avec la conférence "To protect and infect, part 2: The militarization of the Internet" de Jacob Appelbaum au 30c3 où il présente les différents programmes d'attaque et de collecte, en coopération avec le Spiegel (Inside TAO: Documents Reveal Top NSA Hacking Unit).

Vidéo 30C3 : mp4 - webm

En plein milieu des "révélations Snowden", c'est un coup de tonnerre.

Les programmes peuvent se classer en différentes catégories : les implants matériels et les implants logiciels, dans lesquels on peut en mettre d'autres, comme ceux qui visent les téléphones (aussi bien GSM, smartphone que satellite), les malwares, et les programmes "RF" (pour radio-fréquences). Comme vous allez le voir, TAO fait plutôt de l'ultra-ciblé que de l'écoute de masse (au contraire du GCHQ). Ce qui concorde parfaitement avec leur mission : réussir à avoir les infos là où elles sont difficiles d'accès.

Les programmes

Présenter un tel catalogue implique de sélectionner certains de ses éléments sans s'étendre sur son intégralité. Quasiment tous les programmes sont intéressants de par leur méthodes opérationnelles, cependant, dans la mesure du possible, nous parlerons seulement des programmes qui sortent de l'ordinaire. On ne parlera par exemple pas trop des variantes d'IMSI catcher que l'on peut trouver partout.

Implants logiciels

IRATEMONK permet de modifier les microcodes des disques durs de différentes marques (Western Digital, Seagate, Maxtor et Samsung) pour exécuter du code lors du démarrage.

Téléphones

• DROPOUTJEEP - implant pour Iphone, la NSA indique dans le catalogue que DROPOUTJEEP avait 100% de chances de succès.
• MONKEYCALENDAR - implant ciblant les cartes SIM (Subscriber Identify Module) et envoi par SMS, à un numéro défini, les appels et la géolocalisation de l'utilisateur.
• TOTEGHOSTLY - malware ciblant les téléphones Windows (mais quelle version ?), utilisant le framework CHIMNEYPOOL et contrôlé par STRAITBIZARRE. Il est utilisé pour mettre en place ou exfiltrer des fichiers, des sms, la liste des contacts ou encore trouver la géolocalisation via sms ou connection GPRS. L'attaquant a aussi le contrôle de la caméra et du micro.
• TOTECHASER - malware ciblant le téléphone satellite/GSM Thuraya 2520 basé sur Windows CE. Il est utilisé pour exfiltrer les données de géolocalisation ainsi que les logs des appels et la liste de contacts via des sms cachés. Les sms servent aussi à l'attaquant à contrôler le téléphone. Selon les documents, l'implémentation de ce malware nécessite de modifier le téléphone lui même.

Ce genre d'attaque est la spécialité de l'entreprise FinFisher (Gamma International) qui est spécialisée dans les malwares "légaux" (lire "pour les forces de l'ordre, que vous soyez une dictature ou non"). Pour plus de détails sur les capacités de leurs malwares, lire "Gamma FinFisher hacked: 40 GB of internal documents and source code of government malware published" (netzpolitik.org) ainsi que "SpyFiles 4" (wikileaks.org) concernant les malwares eux-mêmes.

Il n'y a normalement aucun lien entre la NSA et FinFisher, mais les URLs vous permettront de mieux appréhender ce que l'on peut faire avec des malwares sur des téléphones.

Serveurs et firewalls

• SWAP exploite le bios de la carte-mère et le Host Protected Area des disques durs pour obtenir des fenêtres d'exécution avant que le système ne charge. Cette technique fonctionne sur des systèmes Windows, Linux, FreeBSD, et Solaris,
• JETPLOW est un implant persistant (sous la forme d'un firmware) ciblant la série des Cisco PIX et des pare-feux ASA (Adaptive Security Appliance) et permettant la mise en place d'une porte dérobée. À noter que BANANAGLEE fonctionne aussi sur ce type de matériel (et pas seulement sur du Juniper),
• DEITYBOUNCE - implant logiciel exploitant le bios de la carte mère des serveurs Dell PowerEdge,
• Les programmes se finissant par "MONTANA" (SCHOOLMONTANA / SIERRAMONTANA / STUCCOMONTANA) visent les serveurs Juniper alors que les programmes finissant par TROUGH (GOURMETTROUGH / SOUFFLETROUGH / FEEDTHROUGH) visent spécifiquement les firewalls du même constructeur,
• IRONCHEF fournit un accès persistant sur les serveurs HP Proliant 380DL G5 en exploitant le BIOS de la carte-mère et le System Management Mode (SMM) via un implant matériel qui permet une communication via des ondes radio,
• Les programmes se finissant par "WATER" (HALLUXWATER / HEADWATER) visent les pare-feux Eudemon du constructeur Huawei en installant une porte dérobée persistante via une "mise à jour" de la ROM du boot.

Implants matériels

ANGRYNEIGHBOR regroupe différents programmes d'écoutes fonctionnant à distance avec des ondes, que ce soit radar ou radio. Ils fonctionnent le plus souvent avec une balise et fonctionnent même si l'ordinateur n'est pas branché à un réseau. Un générateur d'ondes (CW) illumine (comprendre "envoie des ondes vers") la balise, qui utilise alors ces ondes pour renvoyer ses informations. On parle alors d'ondes RF pour les fréquences radios et d'ondes radars pour le reste.

• COTTONMOUTH est un implant USB (matériel) avec un lien RF qui permet l'infiltration ou l'exfiltration de données. Compatible avec GENIE,
• BULLDOZER et GINSU sont des malwares visant le bus PCI, installé via INTERDICTION, ils peuvent être connectés sur une carte WIFI ou sur un routeur pour collecter des métadonnées et du contenu,
• FIREWALK est un implant pour l'Ethernet (rj45/USB ?) permettant un pont RF
• LOUDAUTO est un rétro-réflecteur utilisant les ondes radar et du post-traitement basique pour récupérer l'audio d'une pièce.
• SURLYSPAWN permet de collecter les frappes au clavier sans devoir avoir un logiciel installé sur le système cible, il faut qu'il soit seulement touché une fois.
• PHOTOANGLO (comme le CTX4000), est un générateur d'ondes en continu (CW),
• RAGEMASTER fournit la "balise" qui sera illuminée par un générateur d'ondes. Il est installé dans un câble VGA standard et permet la récupération du signal vidéo. La description du catalogue rapporte que RAGEMASTER ne prend en compte que la "sortie" rouge du VGA car c'est celui qui fournit le meilleur retour vidéo.
• TAWDRYYARD sert de balise permettant de géolocaliser et d'identifier un périphérique implémentant RAGEMASTER.

En lisant le catalogue, on peut parfois voir qu'un programme est fait de composants "COTS" ("Commercial Off-The-Shelf), ce qui signifie que l'on peut le trouver librement sur le marché et donc que l'on ne peut pas remonter à la NSA si quelqu'un le trouve. Si vous souhaitez plus de détails, vous pouvez voir les liens suivants : les 48 pages du catalogues, "Inside TAO: Documents Reveal Top NSA Hacking Unit", "N.S.A. Devises Radio Pathway Into Computers" ou encore "Jacob Appelbaum: Futuristic-Sounding "Radar Wave Devices".

Et les drones ?

NIGHTSTAND, permet d'injecter des exploits sur une ou plusieurs cibles via un réseau WIFI. Il est typiquement utilisé lorsque la cible n'est pas accessible via un réseau câblé, et l'attaque est indétectable par l'utilisateur. Les documents indiquent que dans un environnement idéal, il est possible d'attaquer un réseau WIFI à une distance de ~12 kilomètres. NIGHTSTAND est aussi utilisable à partir d'un drone.

Sur le même thème, vous pouvez aussi regarder les programmes suivants : SPARROW-II (ordinateur embarqué sur du Linux, permet d'exploiter un réseau WIFI à distance), SHENANIGANS (permet la captation massive de données, provenant aussi bien de routeurs WIFI que de smartphones), GILGAMESH (localisation d'une carte SIM à partir d'un drone) et VICTORYDANCE (coopération NSA/CIA : empreinte des réseaux WIFI de quasiment toutes les grandes villes yéménites).

Mais comment font-ils ?

Comment font-ils pour accéder physiquement au serveur s'ils doivent mettre en place des implants matériels ? Ou pour casser de la crypto ? Où encore pour accéder aux différentes réseaux ?

Il existe un programme, appelé INTERDICTION qui consiste à intercepter un colis pendant son transfert pour y installer ce que vous voulez, le tout est renvoyé rapidement et discrètement (et avec le bon emballage bien entendu) à la cible. Le simple fait de commander du matériel en ligne est donc potentiellement un danger. La parade est plutôt simple, il suffit d'aller en magasin. Et comme conclut à juste titre the register, il n'y a apparemment aucun "programme" qui possède une période de validité (à par SEASONEDMOTH). Ce qui veut dire une chose : méfiez-vous de à qui vous achetez votre matériel d'occasion :]

Pour le chiffrement, c'est BULLRUN qui rentre en jeu : il vise à supprimer le chiffrement dans un environnement donné : CNE (Computer Network Exploitation), INTERDICTION (et donc pose d'implants), collecte de données (comme les rapports d'erreurs de Windows) relation avec les entreprises : au hasard RSA ou encore Microsoft (cf. PRISM) ,

ou avec d'autres services (par exemple le FBI pour Microsoft)

À ce sujet, je m'interroge sur Google et les Google cars scannant les réseaux WiFi en 2010. L'information importante n'était pas que Google capte des données sur des réseaux ouverts, mais qu'il a "mappé" TOUS les SSID des réseaux wifi ainsi que leurs localisations : exactement la même chose que ce que la NSA a fait au Yémen avec VICTORY DANCE. Le fait de savoir où se trouve un réseau wifi permet de géolocaliser une cible en ayant accès à son téléphone ou à son ordinateur sans même qu'il ne soit connecté à un réseau, son wifi doit juste être allumé. S'il est connecté, il devient alors possible de faire un lien entre une adresse IP et un SSID.

Continuons avec BULLRUN : il ne faut pas oublier que la NSA a certains des meilleurs mathématicien-ne-s au monde qui travaillent sur de la cryptographie pour améliorer ou au contraire affaiblir des protocoles (comme IPsec par exemple), mais aussi pour trouver des failles à exploiter avant les autres. Ainsi, en novembre 2013, Jacob Appelbaum (qui a eu accès à des documents classifiés d'une autre source que Snowden) disait que "RC4 is broken in real time by the NSA - stop using it." (RC4 est cassé en temps réel par la NSA, arrêtez de l'utiliser).

Il peut aussi y avoir des attaques plus simples , par exemple sur l'utilisation de STARTTLS au lieu de SSL/TLS ; son utilisation permet dans certains cas de forcer une connexion en clair au lieu d'avoir un chiffrement quelconque (d'où l'intérêt de mettre ssl = required et non ssl = yes).

Oui et alors ?

La NSA peut alors utiliser des outils comme XKEYSCORE (dont j'avais parlé dans le premier article) qui permet de rechercher en quasi temps réel dans les différentes bases de données de la NSA et d'autres services : ça peut aller de la nationalité, au sexe, la géolocalisation, l'IP, aux résultats de DISCOROUTE (écoute passive et planétaire du protocole Telnet), en passant par les personnes qui téléchargent le logiciel Tor jusqu'aux sessions VPN, etc….

Une fois une cible définie (comme un administrateur système et/ou réseau, cf. I Hunt sysadmin), la NSA peut alors rediriger une cible vers un serveur FOXACID (pour injecter du code dans son navigateur en utilisant des 0-day), la NSA réalise un Man-in-the-Middle via des fausses pages web (Linkedin, slashdot, …) lors de la redirection en utilisant ses serveurs QUANTUM et du Deep Packet Inspection (TURBINE /TURMOIL).

Pour plus de détails sur cette méthode, vous pouvez lire les articles suivants :

• "How the NSA Plans to Infect ‘Millions’ of Computers with Malware" par Ryan Gallagher et Glenn Greenwald
• "How the NSA Attacks Tor/Firefox Users With QUANTUM and FOXACID" par Bruce Schneier
• "Our Government Has Weaponized the Internet. Here’s How They Did It" par Nicholas Weaver.

Pour la petite histoire, la société française VUPEN a vendu des 0-day à la NSA, et aussi à FinFisher.

Certains documents rapportent 231 opérations en 2011, dont les 3/4 étaient en priorité contre l'Iran, la Russie, la Chine, la Corée du nord et la prolifération nucléaire. Voici quelques autres cibles :

• Le Secretariat of Public Security mexicain qui est responsable de la police nationale, de l'anti-terrorisme, des prisons, et de la police aux frontières.
• L'entreprise allemande Stellar PCS de communications satellite (ainsi que Cetel et IABG)
• Le Fournisseur d'Accès à Internet belge Belgacom en coopération avec le GCHQ.
  
• Une tentative sur un routeur en Syrie qui a fait tombé l'accès à Internet de tout le pays : The NSA, not Assad, took Syria off the Internet in 2012,
• STUXNET, en coopération avec les services Israëlien, est un ver qui visait les systèmes SCADA des centrales nucléaires en Iran.

Pour finir, un document indique que TAO est en train de travailler (en 2011) sur des implants pouvant identifier des "conversations intéressantes" dans un réseau ciblé et d'exfiltrer des morceaux.

Sources

TAO - catalogue ANT

• les 48 pages du catalogues sont visibles sur www.libwalk.so/files/TAO/ et plus facilement téléchargeables avec ce fichier : NSA-TAO-ANT-48pages.tar.gz,
  
• Une vue rapide et bien faite du catalogue ANT sur http://nsa.gov1.info
• spiegel.de - Inside TAO: Documents Reveal Top NSA Hacking Unit
  • page 2 - Targeting Mexico
  • page 3 - The NSA's Shadow Network
• spiegel.de - NSA's Secret Toolbox: Unit Offers Spy Gadgets for Every Need
• spiegel.de - Shopping for Spy Gear: Catalog Advertises NSA Toolbox (slides)
• spiegel.de - NSA-Dokumente: So knackt der Geheimdienst Internetkonten

• spiegel.de - vue interactive des programmes (en anglais)

• washingtonpost.com - U.S. spy agencies mounted 231 offensive cyber-operations in 2011, documents show (GENIE)

• washingtonpost.com - NSA uses Google cookies to pinpoint targets for hacking

• cryptome.org - Jacob Appelbaum on Der Spiegel NSA/GCHQ Reports on liberationtech.

• leaksource.info - NSA’s ANT Division Catalog of Exploits

• engadget.com - NSA can hack WiFi devices from eight miles away

• iclarified.com - The NSA Has a Backdoor Called 'DROPOUTJEEP' for Nearly Complete Access to the Apple Iphone

Tag ANT (NSA) sur nsa-observer.net

BULLDOZER - CANDYGRAM - COTTONMOUTH-I - COTTONMOUTH-II - COTTONMOUTH-III - CROSSBEAM - CTX4000 - CYCLONE - DEITYBOUNCE - DROPOUTJEEP - ENTOURAGE - FEEDTROUGH - FIREWALK - GENESIS - GOPHERSET - GOURMETTROUGH - HALLUXWATER - HEADWATER - HOWLERMONKEY - IRONCHEF - JETPLOW - JUNIORMINT - LOUDAUTO - MAESTRO-II - MONKEYCALENDAR - NEBULA - NIGHTSTAND - NIGHTWATCH - PHOTOANGLO - PICASSO - RAGEMASTER - SCHOOLMONTANA - SIERRAMONTANA - SOMBERKNAVE - SOUFFLETROUGH - SPARROW-II - STUCCOMONTANA - SURLYSPAWN - SWAP - TAWDRYYARD - TOTECHASER - TOTEGHOSTLY - TRINITY - WATERWITCH - WISTFULTOLL

Aller plus loin

• lien vers l'article original (180 clics)
• nsa-observer (163 clics)