Unit 8200 – jednostka izraelskiego wywiadu cybernetycznego, w której opracowano Stuxnet i Pegasus

Twórcy Stuxneta i Pegasusa

Narzędzia wojny cybernetycznej, takie jak Stuxnet czy Pegasus opracowano w jednostce izraelskiego wywiadu cybernetycznego Unit 8200. Pierwszym spektakularnym cyber-narzędziem tej jednostki był Stuxnet. Stuxnet uważany jest za najbardziej wyrafinowane narzędzie ataku cybernetycznego jakie kiedykolwiek powstało. Pegasus to z kolei najbardziej zaawansowane narzędzie szpiegostwa cybernetycznego. Artykuł przedstawia jednostkę Unit 8200 oraz oba jej najsłynniejsze narzędzia – Stuxnet i Pegasus.

Izrael rozwija technologie cyberbezpieczeństwa i cyberszpiegostwa

Izrael od czasu powstania w 1948 roku na terenach podzielonej Palestyny narażony jest bez przerwy na ataki ze strony państw arabskich. Obecnie głównym zagrożeniem dla Izraela jest irański program atomowy oraz ataki cybernetyczne. Obawiając się o swoje cyberbezpieczeństwo Żydzi prowadzą szeroko zakrojone programy rozwoju technik obrony cybernetycznej. Programy te finansowane są z budżetu państwa i mogą liczyć na nieograniczony dostęp do środków. W efekcie Izrael stał się prawdziwym gigantem w zakresie rozwoju technologii cyberbezpieczeństwa. W 8-milionowym kraju działają setki firm tego typu. Stanowi to aż 20% całego światowego rynku cyberbezpieczeństwa. Wiele systemów związanych z cyberbezpieczeństwem i cyberszpiegostwem powstałych w Izraelu jest eksportowanych.

W Izraelu służba wojskowa jest obowiązkowa, zarówno dla kobiet jak i mężczyzn. Trwa trzy lata w przypadku mężczyzn i dwa lata w przypadku kobiet. Wiek poborowy to 18 lat. Wielu młodych, technologicznie uzdolnionych ludzi trafia w ramach swojej służby wojskowej do specjalnej jednostki cyberbezpieczeństwa Unit 8200, gdzie przez trzy lata służby przechodzą intensywne szkolenie programistyczne i hackerskie. Po opuszczeniu jednostki wykorzystują nabyte umiejętności w biznesie prywatnym np. zakładając własne firmy związane z cyberbezpieczeństwem lub pracując we wiodących firmach technologicznych np. z Doliny Krzemowej.

Unit 8200

Unit 8200 (hebr. shmone matayim) to jedna z najbardziej tajemniczych jednostek izraelskiego wywiadu wojskowego – Aman. Realizuje zadania z zakresu wywiadu elektronicznego. Do służby w Unit 8200 powoływani są specjalnie wyselekcjonowani 18-latkowie charakteryzujący się zdolnościami informatycznymi oraz predyspozycjami do szybkiej nauki. Kandydatów wyszukuje się już podczas edukacji w szkole średniej poprzez specjalne programy warsztatów z programowania i nowych technologii np. Magshimim czy Gvahim. Na warsztaty uczniowie zgłaszają się dobrowolnie, ale przyjmowany jest tylko co czwarty z nich. Selekcja odbywa się na podstawie testów z zakresu programowania oraz testów na inteligencję.

Wybitni uczestnicy warsztatów technologicznych po szkole powoływani są do jednostki Unit 8200, gdzie odbywają służbę wojskową. Najważniejsze umiejętności brane pod uwagę przy rekrutacji do jednostki to znajomość: technologii komunikacyjnych, inżynierii urządzeń elektrycznych oraz języków arabskich. Jednostka liczy sobie 5000 żołnierzy. Przez 3 lata intensywnej nauki członkowie jednostki uczeni są technik programistycznych i hackerskich na poziomie porównywalnym z najlepszymi amerykańskimi uniwersytetami takimi jak Harvard, Princeton czy Yale. Unit 8200 działa w trybie zadaniowym, niczym firma sektora high-tech. Członkowie jednostki podzieleni są na grupy, przed którymi stawia się określone technologiczne wyzwania. Nie ma tam struktury typowo hierarchicznej, jak w tradycyjnych jednostkach wojskowych. Najważniejszy jest cel do zrealizowania, nawet gdy trzeba działać niezgodnie z rozkazami przełożonych.

Grupy zadaniowe Unit 8200 przeszukują zasoby internetowe, analizują materiały z dronów lub kamer ulicznych aby zebrać dane potrzebne do realizacji zadania jakie przed nimi postawiono. Wyszukiwanie przydatnych informacji w morzu ogólnie dostępnych danych to podstawa działania Unit 8200. Załóżmy, że grupa otrzymuje zadanie przygotowania operacji unieszkodliwienia groźnego terrorysty. Aby wykonać zadanie, analizuje jego bilingi telefoniczne, nagrania samochodu z kamer przemysłowych lub modus operandi. Dzięki temu mogą ustalić miejsce i czas, kiedy terrorysta zostanie aresztowany bądź unieszkodliwiony np. atakiem drona.

Wiele działań jednostki Unit 8200 dotyczy inwigilowania Palestyńczyków w Strefie Gazy i na Zachodnim Brzegu Jordanu. Nierzadko działania te są mocno kontrowersyjne i polegają na zbieraniu wrażliwych materiałów, które są potem wykorzystywane do szantażu lub dyskredytacji danej osoby. Zbierane są materiały dotyczące sfery intymnej, kłopotów finansowych lub stanu zdrowia. Inwigilacja obejmuje nie tylko cel, ale również jego rodzinę i znajomych.

Irański program nuklearny zagrożeniem dla Izraela

Na początku XX wieku Stany Zjednoczone uruchomiły operację o nazwie Operation Olympic Games. Celem operacji było powstrzymanie irańskiego programu nuklearnego, który zmierza do wyprodukowania bomby atomowej zagrażającej Izraelowi. Aby uniknąć otwartego konfliktu zbrojnego postanowiono wykorzystać techniki cybernetyczne. Szczegółowym celem było sparaliżowanie procesu wzbogacania uranu w irańskim Natanz. Uran w Natanz jest wzbogacany poprzez odwirowywanie cięższych frakcji w specjalnych wirówkach. Tak wzbogacony uran wykorzystywany jest potem w elektrowniach atomowych ale również może stanowić składnik bomby atomowej. Stany Zjednoczone porozumiały się z Izraelem i postanowiono wspólnie utrudnić Iranowi proces wzbogacania uranu.

Wirówki w Natanz oparte są na schematach wykradzionych w Holandii przez twórcę pakistańskiego programu nuklearnego Abdula Qadeera Khana. Khan pracował w Holandii w brytyjsko-holendersko-niemieckim konsorcjum atomistycznym URENCO. Wykradł tam schematy wirówek do wzbogacania uranu sterowanych przez systemy niemieckiego Siemensa. Po powrocie do Pakistanu, Khan dzięki skradzionym schematom stworzył w tym kraju program nuklearny, który pozwolił Pakistanowi na wyprodukowanie 147 pocisków z głowicą jądrową. Khan sprzedał później wykradzione w Holandii schematy wirówek kolejnym państwom, w tym Iranowi.

Wirówki wzbogacania uranu w Natanz celem dla Unit 8200

W 2004 roku amerykańska agencja CIA oraz izraelska agencja wywiadowcza Mossad zwróciła się do holenderskiego wywiadu AIVD o pomoc w realizacji Operation Olympic Games. AIVD posiadał wówczas w Iranie swojego szpiega, który pracował tam jako inżynier. Szpieg dostał zadanie dostania się do Natanz i rozpracowania systemu wirówek. W tym celu założył firmę, której udało się uzyskać kilka zleceń na prace w zakładzie Natanz. Holenderski szpieg przez kilka miesięcy zbierał informację o systemach informatycznych sterujących pracą wirówek wzbogacających uran. W tym czasie izraelski Unit 8200 pracował intensywnie nad stworzeniem specjalnego robaka Stuxnet, który po wstrzyknięciu do systemu miał uszkadzać wirówki wzbogacania uranu.

Przy pisaniu kodu wykorzystywano informacje holenderskiego szpiega. Programiści Unit 8200 współpracowali z nim na bieżąco przekazując mu co powinien sprawdzić, gdy będzie miał dostęp do wirówek i sterujących nimi systemów. Chodziło o to by stworzony robak zadziałał tylko przy ściśle określonej konfiguracji systemowej obsługującej wirówki w Natanz.

Wirówki do wzbogacania uranu w Natanz monitorowane i sterowane były przez systemy informatyczne SCADA oparte na sterownikach PLC niemieckiego Siemensa. Unit 8200 od niemieckiego wywiadu uzyskało specyfikacje techniczne i informacje odnośnie tych systemów. Systemy nie były podłączone do Internetu, a same wirówki programowane były za pomocą pendrive’ów. Inżynier w zakładzie opracowywał konfigurację na komputerze, a następnie zapisywał ją na dysku flash i przenosił do systemu wirówki. Robak Stuxnet został opracowany również jako program przenoszony na dysku flash. Po podłączeniu pendrive’a do urządzenia system operacyjny odczytywał specjalnie spreparowany plik .lnk, w którym ukryty był kod infekujący system (tzw. exploit). Exploit z robaka Stuxnet był exploitem typu zero-day, co oznacza, że wykorzystywał nie załatane jeszcze luki w systemie operacyjnym. Wykrycie takich luk i stworzenie wykorzystującego je exploita wymaga sporych umiejętności hackerskich.

Działanie robaka Stuxnet

Stuxnet zawierał cztery wersje exploita, przystosowane do infekowania różnych wersji systemu Windows. Podczas infekcji w systemie instalowane były sterowniki podpisane certyfikatami znanych producentów układów scalonych i kart rozszerzeń – RealTek oraz JMicron Technology. Produkty tych firm znajdują się w niemalże każdym komputerze. Dzięki temu system Windows traktuje sterowniki podpisane ich certyfikatami, jako w pełni zaufane i dopuszcza do ich instalacji bez monitowania użytkownika. Twórcy Stuxneta zapewne przejęli lub wynajęli kogoś do wykradzenia certyfikatów i podpisali nimi swoje sterowniki. Do dzisiaj nie wiadomo dokładnie w jaki sposób certyfikaty zostały wykradzione.

Stuxnet po instalacji przeszukiwał komputery pod kątem oprogramowania firmy Siemens – SIMATIC Step 7 lub SIMATIC WinCC. Programy te są częścią systemów  SCADA pozwalających na monitorowanie i sterowanie fizycznymi procesami przemysłowymi opartymi na sterownikach PLC Siemensa. Stuxnet uaktywniał się tylko gdy natrafił na SCADA Siemensa używany w konkretnym systemie do sterowania silnikami przemysłowymi pochodzącymi z Finlandii i Iranu ustawionymi na wysoką częstotliwość działania, gdyż takie były wykorzystywane w wirówkach z Natanz.

Robak pozostawał nieaktywny jeżeli nie znalazł odpowiedniego systemu SCADA Siemensa nadzorującego wirówki wzbogacania uranu. Napotykając na odpowiedni system Stuxnet zaczynał działać. W swojej pierwszej wersji robak zamykał zawory wylotowe gazu w losowo wybranych wirówkach. Uran wpadał do wirówek ale nie mógł się z nich wydostać co podnosiło ciśnienie wewnątrz urządzenia doprowadzając z czasem do uszkodzenia wirówki. W kolejnej wersji udoskonalono robaka i zamiast zamykać zawory na wirówkach, zmieniał prędkość ich wirowania krytycznie je rozpędzając, a potem spowalniając. Wirówki działały nieefektywnie i szybko ulegały uszkodzeniu. Jednocześnie operator systemu otrzymywał na monitorach fałszywe informacje o prawidłowej pracy wirówek.

Efekty działania robaka Stuxnet

Pierwsza wersja robaka Stuxnet wprowadzona została do systemu wirówek w Natanz przez holenderskiego szpiega ale z czasem jego działania wewnątrz zakładu stały się zbyt ryzykowne. Kolejna wersja Stuxneta przyspieszjąca wirówki przemycona została do Natanz dzięki zainfekowaniu komputerów pracowników pięciu irańskich firm, które wykonywały prace przy instalacji systemów SCADA wewnątrz zakładu. W ten sposób Stuxnet został przeniesiony do systemu obsługującego wirówki ale również trafił do sieci publicznej i zaraził 100 000 komputerów, głównie w Iranie, co spowodowało w końcu jego wykrycie.

W czasie destrukcyjnego działania Stuxnetu w zakładach Natanz uszkodzeniu uległo 2000 wirówek. Program atomowy Iranu mocno wyhamował. Liczono, że Stuxnet będzie sabotował irański program nuklearny przez wiele lat jednak został wykryty już po dwóch latach, gdyż nadmiernie rozpowszechnił się na świecie. Znalazł się w końcu ktoś kto wykrył robaka i opublikował tę informację. Był to młody programista z Białorusi Sergey Ulasen, który wykrył robaka pracując w białoruskiej firmie tworzącej oprogramowanie antywirusowe – VirusBlokAda.

Stworzony w Unit 8200 Stuxnet pozostaje na razie najbardziej zaawansowanym narzędziem wojny cybernetycznej jakie kiedykolwiek stworzono. Dał początek erze ataków cybernetycznych sterowanych przez rządy.

NSO Group – firma do sprzedaży i obsługi Pegasusa

Kolejnym super programem służącym do wojny cybernetycznej, którego początków można szukać w izraelskim Unit 8200 jest oprogramowanie szpiegujące Pegasus. Oprogramowanie to jest obecnie sprzedawane służbom operacyjnym również spoza Izraela.

Oficjalnie Pegasus to produkt firmy NSO Group, jednakże został opracowany w Unit 8200. Założycielami NSO Group są Niv Karmi, Omri Lavie i Shalev Hulio. Lavie oraz Hulio wywodzą się właśnie z Unit 8200. Z kolei Niv Karmi to agent izraelskiego Mossadu. NSO Group pozostaje pod ścisła kontrolą izraelskich służb specjalnych oraz rządu. To firma założona przez izraelskie służby. Jej głównym zadaniem jest rozwijanie, sprzedawanie i obsługa systemu Pegasus w wersji eksportowej.

Pegasus to system, który pozwala zdalnie przejąć kontrolę nad telefonem użytkownika, pozostając jednocześnie przez niego niezauważonym. Jest systemem mocno kontrowersyjnym. Wielokrotnie posługiwały się nim reżimy w różnych autorytarnych krajach. Z tych powodów Izrael oficjalnie udaje, że produkt jest wytworem prywatnej firmy i nie ma nic wspólnego z rządowym Unit 8200. W rzeczywistości Pegasus powstał właśnie w Unit 8200, jako system do inwigilacji Palestyńczyków i innych narodowości arabskich. Kolejne wersje Pegasusa udoskonalane są już obecnie pod szyldem NSO Group. Firma zatrudnia wielu programistów przeszkolonych przez Unit 8200. Również jej menadżerami są byli członkowie Unit 8200.

Pegasus – narzędzie cyber-szpiegujące wykorzystywane przez PiS do inwigilacji opozycji

Jak powszechnie wiadomo Pegasus jest wykorzystywany przez służby specjalne Prawa i Sprawiedliwości. Zakup Pegasusa został sfinansowany z Funduszu Sprawiedliwości pozostającego w dyspozycji Ministerstwa Sprawiedliwości. Kupującym było Centralne Biuro Antykorupcyjne. Pośrednikiem w transakcji była firma Matic S.A. założona przez byłych funkcjonariuszy komunistycznej MO oraz SB. Matic S.A. ma swoją siedzibę w Warszawie i od lat współpracuje ze służbami specjalnymi.

Zakup Pegasusa został uzgodniony na szczeblu międzypaństwowym w 2017 roku, podczas spotkania premier Beaty Szydło z premierem Izraela – Benjaminem Netanjahu. Gospodarzem spotkania był dyktator Viktor Orban. To właśnie po tym spotkaniu służby specjalne Węgier oraz Polski zaczęły intensywnie korzystać z Pegasusa. Zarówno w Polsce, jak i na Węgrzech, system wykorzystywany jest głównie do inwigilacji przeciwników reżimu. Polska zakupiła licencję na 40 stanowisk tzn. jednocześnie może inwigilować 40 różnych osób. W ramach jednej licencji stanowiskowej można zmieniać osoby inwigilowane. Poseł Marek Suski (PiS) z komisji ds. służb specjalnych odnosząc się do inwigilacji Pegasusem obywateli przez PiS stwierdził cyt. : „To niewielkie ilości, nieprzekraczające kilkuset osób rocznie„. Wygląda na to, że licencje były wykorzystywane praktycznie bez przerwy.

Najważniejsze cechy i funkcje Pegasusa

W instrukcji obsługi Pegasusa, program jest zdefiniowany następująco: „Pegasus to wiodące na świecie rozwiązanie do szpiegowania cybernetycznego, które umożliwia organom ścigania i agencjom wywiadowczym zdalne i potajemne wydobywanie cennych informacji z praktycznie każdego urządzenia przenośnego„. Znajduje się tam też informacja, że Pegasus został opracowany przez byłych członków wywiadu cybernetycznego, a więc przez członków Unit 8200.

Program jest w stanie przeniknąć do takich systemów operacyjnych jak: BlackBerry, Android, iOS i Symbian. Pegasus może zostać zainstalowany zdalnie, bez potrzeby kontaktu fizycznego.

Cechy i funkcje Pegasusa:

• Zbiera i przekazuje dane o kontaktach, lokalizacji oraz rozmowach telefonicznych;
• Pozwala na monitorowanie połączeń w czasie rzeczywistym;
• Zapewnia zdalny dostęp do kontaktów, list procesów, historii połączeń, historii przeglądania, haseł, e-maili, zdjęć, plików audio, plików video, dokumentów i wszelkich innych plików;
• Pozwala na zdalne nagrywanie rozmów, robienie zrzutów ekranu oraz robienie zdjęć aparatem;
• Umożliwia zdalne i niezauważalne uruchomienie kamery, mikrofonu, dyktafonu, nadajnika GPS oraz innych modułów na telefonie celu;
• Pozwala na odczyt zaszyfrowanych treści (radzi sobie z szyfrowaniem SSL oraz z zastrzeżonymi protokołami);
• Umożliwia pełny dostęp do takich aplikacji na telefonie jak: Skype, WhatsApp, Viber, Facebook i Blackberry Messenger (BBM);
• Pozwala na śledzenie lokalizacji telefonu za pomocą GPS;
• Nie wymaga współpracy z operatorem telefonii komórkowej i jest odporny na wymianę karty SIM;
• Umożliwia dostęp do wszelkich danych historycznych przechowywanych na telefonie;
• Potrafi się sam odinstalować w przypadku ryzyka ujawnienia;
• Wszystkie działania Pegasusa odbywają się w tle i pozostają niezauważalne dla celu inwigilacji.

System za pośrednictwem, którego operator obsługuje Pegasusa ma rozbudowany system alertów. Może informować operatora o:

• pojawieniu się celu w określonym rejonie,
• spotkaniu się dwóch śledzonych celów,
• wykonaniu przez cel połączenia lub wysłaniu wiadomości na określony numer,
• użyciu przez cel określonego słowa we wiadomości SMS,
• otrzymaniu przez cel wiadomości SMS, email itp.

Zasada działania Pegasusa

Pegasus, podobnie jak Stuxnet jest programem typu zero-day, a więc wykorzystuje luki w systemie, nie załatane jeszcze przez producenta. Jest programem stale aktualizowanym zdalnie, więc jeżeli określona luka w systemie zostanie załatana, to Pegasus zostaje zaktualizowany do nowszej wersji wykorzystującej kolejną niezałataną jeszcze lukę. Odporność na poprawki systemu jest tutaj kluczowa i w dużej mierze decyduje o wysokiej cenie licencji programu. Odnajdywanie na bieżąco kolejnych luk zero-day w systemach jest bardzo kosztowne, gdyż wymaga sporej pracy wielu wysoko kwalifikowanych hackerów. Licencja na jedną podsłuchiwaną osobę kosztuje w firmie NSO Group około 60 000 USD. Jeżeli NSO pozbawi jakiegoś odbiorcę Pegasusa licencji to oznacza to brak dostępu do jego aktualizacji zero-day. Pegasus staje się wówczas bezużyteczny w momencie aktualizacji systemu operacyjnego telefonu. Stałe aktualizowanie wszystkich aplikacji na telefonie i składników jego systemu to podstawowa metoda obrony przed Pegasusem.

Według instrukcji Pegasusa, wszelkie dane z telefonu celu przechowywane są na serwerach NSO Group w Izraelu. Tak więc służby bezpieczeństwa Izraela mają pełen dostęp do wszelkich danych pozyskanych w wyniku działania Pegasusa.

Jak instaluje się Pegasus

Pegasus może zostać wstrzyknięty do urządzenia zdalnie np. poprzez wysłanie z serwera wiadomości typu push. Po otrzymaniu wiadomości urządzenie ofiary pobiera i instaluje Pegasusa, nie informując o niczym użytkownika telefonu. Przy tej metodzie nie jest wymagane żadne działanie ze strony użytkownika. Dostępna jest też opcja, w której Pegasus może zostać zainstalowany poprzez kliknięcie przez cel linku we wiadomość SMS lub email.

Powyższe metody wymagają do instalacji podania numeru telefonu lub adresu email ale jest również możliwe wstrzyknięcie Pegasusa bez wskazywania numeru telefonu ofiary. Odbywa się to wówczas za pośrednictwem najbliższej stacji BTS. Jeżeli cel rozmawia przez telefon to za pośrednictwem BTS-a można ustalić jego numer i przeprowadzić infekcję. Możliwe jest również zainstalowanie Pegasusa poprzez fizyczny kontakt z telefonem celu.

Co ciekawe, Pegasus ma pewną łatwą do wykorzystania wadę. Przy instalacji zero-click za pośrednictwem wiadomości push oczekuje, że użytkownik używa domyślnej dla telefonu przeglądarki internetowej (ustawianej fabrycznie). Jeżeli użytkownik telefonu zainstaluje inną przeglądarkę internetową np. przeglądarkę Opera i ustawi ją jako domyślną to wstrzyknięcie Pegasusa zero-click za pośrednictwem wiadomości push nie uda się. Zamiast rezygnacji z domyślnej przeglądarki, można również zmienić po prostu wartość opcji user-agent w ustawieniach przeglądarki internetowej np. podstawiając nazwę jednego z popularnych botów internetowych. Wówczas Pegasus również się nie zainstaluje. Taką modyfikację można wykonać w kilka minut i będziemy mogli dalej korzystać z domyślnej przeglądarki np. Chrome bez obawy o instalację Pegasusa typu zero-click. Zalecam również zmianę nazwy telefonu z domyślnej na unikalną w ustawieniach. Wszystkie te działania utrudniają Pegasusowi rozpoznanie urządzenia i jego systemu. Nie jest on wtedy w stanie zainstalować się na urządzeniu.

Wykrywalność Pegasusa po jego deinstalacji

Pegasus sam się odinstalowuje gdy pojawi się ryzyko ujawnienia lub gdy przez dłuższy czas nie może skomunikować się z serwerem (domyślnie 60 dni). Według twórców Pegasusa, program po odinstalowaniu nie pozostawia żadnych śladów swojej obecności, jednakże jak wykazały analizy Citizen Lab oraz Amnesty International, jest to nieprawda. Ślady procesów Pegasusa można odnaleźć w logach systemu operacyjnego telefonu (oczywiście jeżeli nie zostały usunięte lub nadpisane). Organizacja Amnesty Tech podaje nazwy procesów, których pojawienie się w logach świadczy o infekcji Pegasusem. Istnieje już nawet narzędzie, które wykrywa czy Pegasus był obecny w badanym urządzeniu: Mobile Verification Toolkit (MVT). Opublikowana została również lista domen wykorzystywanych przy infekowaniu urządzenia przez Pegasusa. Jeżeli jedna z opublikowanych domen pojawia się w jakimkolwiek mailu lub wiadomości SMS na telefonie to znaczy, że próbowano zainfekować urządzenie Pegasusem.

Według oficjalnych informacji, Polska ze względu na wykorzystywanie Pegasusa do walki politycznej nie będzie mogła kupić kolejnych licencji programu. Należy jednak wspomnieć, że izraelskie służby specjalne założyły w Macedonii Północnej kolejną spółkę cybernetyczną Cytrox, która oferuje podobny produkt szpiegowski – Predator. Cytrox ma swoją kwaterę główną na Węgrzech.