Thread by @defencegreece_m

1/Αναλυση #υποκλοπες #Ελλαδα: Συνομιλησαμε το προηγουμενο διαστημα με εναν ειδικο στην κυβερνοασφαλεια ο οποιος δεχτηκε να απαντησει σε ερωτησεις μας σχετικα με #malware που προσβαλουν κινητες συσκευες μεταξυ των οποιων και το #Predator.

2/Στο παρων 🧵 θα προσπαθησουμε να ξεδιαλυνουμε καποια σημεια για το σκανδαλο των υποκλοπων. Η συνεντευξη εγινε με την μορφη ερωταπαντησεων πανω σε μεθοδους και εργαλεια που θα μπορουσε να χρησιμοποιησει καποιος για να ξετυλιξει την ακρη του νηματος.Τα στοιχεια του μας ζητηθηκε

3/να μην γινουν γνωστα όπως η ακριβης ιδιοτητητα του για ευνοητους λογους. Για την ευχερεια της παρουσιασης της συνεντευξης θα τον αναφερουμε με τα αρχικα ΖΖ
DG:Αν καποιος εχει λαβει καποιο λινκ (χωρις να το πατησει) μεσα απο malware μπορει με καποια μεθοδο να βρει τον ειβσολεα?

4/
ZZ: Σε αυτη την περιπτωση μπορεις να εξετασεις το παραπανω υποπτο λινκ χρησιμοποιωντας καποιο Command Line Browser οπως το Links, curl ή wget. Μπορει να δεις με αυτο το τροπο τι javascript προσπαθει να τρεξει απο πισω με ασφαλη και ελεγμενο τροπο ενω μπορεις να συλλεξεις και o

5/
ZZ: ιδιος στοιχεια για τον server στον οποιο σε ανακατευθυνει το Link της σελιδας.Αυτο θα σε βοηθησει οχι μονο να βρεις πληροφοριες αλλα να μπορεσεις και να "χακεψεις" τν σερβερ για να συλλεξει ακομη περισσοτερες πληροφοριες,Domain κτλ για τον εισβολεα.Είναι πιθανο ο εισβολεας

6/να τρεχει εντολες μεσω πρωτοκόλου ssh πισω απο Tor στον server που "σερβιρε" το malware ώστε να καλυψει τα ιχνη του εντουτοις ειναι ενα καλο βημα σε πρωτη φαση.

7/DG: Αν καποιο κινητο μολυνθει βοηθαει εξτρα στην ιχνηλατηση?
ΖΖ: Σε αυτη την περιπτωση εχεις οντως πολυ πληροφορια και μπορεις βαζοντας καποιο Implant να δεις το malware application τι εντολες τρέχει και βιβιβλιοθηκες Library καλει ωστε να κανεις ακομη και reverse engineering

8/ΖΖ: Αυτο ακριβως ειναι που κανει το γνωστο Καναδικο #CitizenLab όπου διαφοροι χρηστες κυριως Δημοσιογραφοι προσπαθουν να ανακαλυψουν ποιος τους παρακολουθει. Εχοντας την μολυσμενη συσκευη εν λειτουργια και μελετωντας την για αρκετο χρονο μπορεις να απομονωσεις τοσο τα στοιχεια

9/που συλλεγει η συσκευη όσο και με ποιους σερβερ επικοινωνει δινοντας σου πιο πλουσια πληροφορια.
DG: Θα μπορουσαν αυτες τις μεθοδους να τις διεκπεραιωσei η Διευθυνση Ηλεκτρονικου Εγκληματος της #ΕΛΑΣ?
ZZ: Υπαρχει αγαπη και ενδιαφερον απο πολλα στελεχη εντουτοις σε αρκετες

10/ΖΖ: περιπτωσεις ειναι καλυτερη η δημιουργια αιτηματος συνδρομης και απο την #Interpol που εχει περρισοτερους πορους και προσωπικο για τετοιες καταστασεις

11/DG: Μπορει καποιος χρηστης να προστατευτει απο τετοιου ειδους malware πχ μεσω καποιας εφαρμογης anti-spyware?
ZZ: Android και iOS δεν επιτρεπουν ευκολα anti-virus (kernel drivers παρακολουθουν το Λειτουργικο Συστημα), μονο περιορισμενες δυνατοτητες.
Υπαρχουν βεβαια secured

12/ΖΖ:τροποποιημενες εκδοσεις του Λειτουργικου Andoid ή iOS απο διαφορες (λιγες) εταιρειες που παρεχουν μαζι με τη συσκευη. Επισης ειδικη ομαδα μεσα στη Google εχει partners εταιρειες στις οποιες εχει εγκαταστησει Monitoring εργαλεια στις κινητες συσκευες ή Δικτυα πελατων της.

13/
ZZ: H ομαδα αυτη λεγεται Threat Analysis Group (TAG) και τρεχει το Project 0 που αφορα την αναγνωριση ευπαθειων ασφαλειας στις συσκευες και τα λειτουργικα που τρεχουν Android. Αντιστοιχη ομαδα εχει και η Apple

14/DG: Πως ακριβως λειτουργει το Predator?
ZZ: Αλλο η αναγνωριση φθηνων malware του εμποριου και αλλο η αντιμετωπιση του Predator το οποιο ειναι sophisticated με ακριβη αναπτυξη. Ενδεικτικα το Predator 99%

15/εγκαθιστα πρωτο process sandbox Malware μεσω καποιου Zero day ευπαθειας στον Chrome (που ειναι και default εφαρμογη στα Android) σαν πρωτο βημα. Επειτα μεσω δευτερης ευπαθειας "μιλα" με 2ερο process στο συστημα για να elevate sysadmin/root rights με τα οποια θα μπορεσει στο

16/τελος να εγκαταστησει ενα τελικο malware παρακολουθησεις το οποιο εκμεταλλευομενο 3η Zero Day ευπαθεια να καταγραφει τις κινησεις του χρηστη της κινητης συσκευης (επαφες, κλησεις, SMS, ποιον συνομιλει ακομη και φωτογραφιες ή ποια site επισκεπτεται)

17/
DG:Αυτες οι Zero Day ευπαθειες ειναι ευκολο να ανακαλυφθουν απο καποιο εμπειρο στο χωρο?
ΖΖ: Ακομη και αν καποιος ειναι εξειδικευμενος στο χωρο ενδεικτικα για την ανακαλυψη μιας ευπαθειας στον Chrome απαιτειται η αποκλειστικη εργασια ομαδας 3-4 ατομων για διαστημα 6-8 μηνων.

18/
ZZ:Αυτο μεταφραζεται σε κοστος εκατονταδων χιλιαδων Ευρω για την ανακαλυψη μιας μονο ευπαθειας. Δεδομενου οτι ενα malware οπως το Predator χρησιμοποιει τουλαχιστον 3 Zero Day Vulnerabilities καθισταται σαφες πως τα χρηματα που απαιτουνται για τη συντηρηση του ωστε παντα να

19/
ΖΖ:ειναι ενα βημα μπροστα πριν "patchaριστει"i η ευπαθεια απο την Google, απαιτουν ενα αρκετα γενναιοδωρο σπονσορα απο πισω που σιγουρα περιλαμβανει και State actors.Αυτες οι ευπαθειες θεωρουνται αναλωσιμα για τις εταιρειες που φτιαχνουν το Predator, αναλωσιμα εκατομμυριων...

20/Συμπερασματα DG:
Οπως καταλαβαινει κανεις δεν μιλαμε για εταιρειες του κοινου ποινικου Δικαιου ουτε για καποια πρωτοβουλια καποιου ειδικου αλλα μεμονομενου προσωπου στην κυβερνοασφαλεια που ηθελε να βγαλει παραπανω χρηματα. Απαιτουνται ποροι που μπορουν να διαθεσουν ειτε κρατη

21/ειτε πολυ μεγαλες εταιρειες σε ετησια βαση και τα οποια μονο για την συντηρηση της επενδυσης δεν ειναι διολου ευκαταφρονητα.
ι) Τα ερωτηματα π προκυπτει είναι ποιες οι ενεργειες του Ελληνικου Κρατους ωστε να συλλεξει τεχνικα στοιχεια και να αναγνωρισει τους ενοχους που

22/παρακολουθουσαν πολιτικα προσωπα και δημοσιογραφους?
ιι)Γιατι δεν κληθηκε η Διευθυνση Ηλεκτρονικου Εγκληματος(ακομη & συνδρομη #Interpol) απο την πρωτη στιγμη να συλλεξει πληροφοριες απο μολυσμενες και μη συσκευες?
iii)Γιατι επικεντρωνομαστε μονο στις επισυνδεσεις της #ΕΥΠ?

@threadreaderapp unroll!

@nasoskook

Τα wget, links και curl ειναι εργαλεία καθαρα για συλλογη πληροφοριας και χρησιμοποιούνται αλλα εργαλεια για να "χακεψεις" τον σερβερ του εισβολεα.

Το Project 0 και TAG ειναι στην πραξη δυο διαφορετικές ομαδες μεσα στη Google εντουτοις συνεργαζονται οπως φαινεται απο τα post του πρωτου

Εχουν υπαρξει μερικες γνωστες τροποποιημενες εκδοσεις του Android εντουτοις για το iOS στην παρουσα φαση δεν υπάρχει κατι διαδεδομενο