CIA: Matérias escuríssimas

Hoje, 23 de Março de 2017, a WikiLeaks divulga a Caixa Forte 7 "Matéria escura" (Vault 7 "Dark Matter"), a qual contem documentação de vários projectos da CIA que infectam o firmware [1] do Apple Mac (o que significa que a infecção persiste mesmo que o sistema operacional seja reinstalado) desenvolvido pelo Embedded Development Branch (EDB) da CIA. Estes documentos explicam as técnicas utilizadas pela CIA para ganhar "persistência" no dispositivos Apple Mac, incluindo Macs e iPhones e demonstram a sua utilização de EFI/UEFI [2, 3] e malware [4] firmware.

Estes documentos revelam, entre outros, o projecto "Chave de parafusos sónica" ("Sonic Screwdriver) o qual, como explica a CIA, é um "mecanismo para executar código sobre dispositivos periféricos enquanto o computador portátil ou de mesa da Mac está a arrancar" o que permite a um atacante lançar seu software de ataque, através por exemplo de um stick USB "mesmo quando uma password na firmware está activada". O contagiador (infector) "Sonic Screwdriver" da CIA é armazenado no firmware modificado de um adaptador Apple Thunderbolt-to-Ethernet.

"Céus e mares escuros" ("DarkSeaSkies") é "um implante que persiste no EFI de um comptador Apple MacBook Air" e consiste de "DarkMatter", "SeaPea" e "NightSkies", respectivamente EFI, espaço kernel e implantes no espaço do utilizador.

Documentos sobre o malware "Triton" MacOSX, seu infeccionador "Dark Mallet" e sua versão com EFI persistente "DerStarke" são também incluídos nesta divulgação. Enquanto o manual do DerStarke 1.4 divulgado hoje data de 2013, outros documentos Vault 7 mostram que a partir de 2016 a CIA continua a confiar e a actualizar estes sistemas, estando a trabalhar na produção do DerStarke2.0 .

Também incluído nesta divulgação está o manual para o "NightSkies 1.2" da CIA, uma "ferramenta de localização/carregamento/implantação" ("beacon/loader/implant tool") para o Apple iPhone. Vale a pena notar que NightSkies alcançou [a versão] 1.2 em 2008 e é concebido expressamente para ser instalado fisicamente em fábrica nos novos iPhones, ou seja, a CIA tem estado a infectar a cadeia de oferta do iPhone dos seus alvos pelo menos desde 2008.

Se bem que activos da CIA por vezes seja utilizados para infectar fisicamente sistemas na posse de um alvo visado é provável que muitos ataques de acesso físicos da CIA tenham infectado a cadeia de fornecimento da organização visada, inclusive interditando encomendas postais e outros despachos (abrindo, infectado e reenviando) que deixam os Estados Unidos ou outros países.