De tech­niek ach­ter smartpho­ne-spi­o­na­ge

Zo werkt spy­wa­re op smartpho­nes

C’t Magazine - - Inhoud 11/2018 - Mi­chael Spreitzen­barth

Spi­o­ne­ren op mo­bie­le te­le­foons is niet iets ge­heim­zin­nigs. Spy­wa­re is nor­ma­le soft­wa­re, en vaak zelfs heel slech­te. Als je be­grijpt hoe het in zijn werk gaat, kun je het ont­mas­ke­ren en on­scha­de­lijk ma­ken.

Als een spi­o­na­ge­pro­gram­ma ge­ge­vens wil ver­za­me­len en ver­zen­den, moet het eerst op de te­le­foon van het slacht­of­fer ko­men. Dat is een pro­bleem voor re­cher­cheurs die een ver­dach­te wil­len vol­gen, om­dat men geen di­rec­te toe­gang tot zijn smartpho­ne heeft. En krij­gen ze die in han­den, dan is het ap­pa­raat meest­al be­schermd met een pin­co­de of an­der ver­gren­de­lings­me­cha­nis­me. De FBI en an­de­re op­spo­rings­in­stan­ties ko­pen dus voor zes­cij­fe­ri­ge be­dra­gen ex­ploits, waar­mee ze die hin­der­nis kun­nen ne­men.

Bij com­mer­ci­ë­le spi­o­na­ge-apps zo­als Flexy­S­py, mS­py en der­ge­lij­ke voert de ja­loer­se part­ner het vui­le werk uit. Die in­stal­leert de tro­jan in een on­be­waakt ogen­blik. Hij be­schikt over de ve­reis­te co­de of hij be­mach­tigt het ap­pa­raat op het mo­ment dat het ont­gren­deld is. Er zijn zelfs ge­val­len be­kend waar­bij de vin­ger van het sla­pen­de slacht­of­fer op de ont­gren­del­knop ge­legd werd. En het kan nog een­vou­di­ger: de da­der geeft een ap­pa­raat ca­deau dat hij eer­der op zijn ge­mak heeft voor­be­reid. De rest is een­vou­dig, de ma­kers bie­den im­mers staps­ge­wij­ze in­stal­la­tie-in­struc­ties.

Die be­schrij­ven on­der an­de­re wel­ke vei­lig­heids­maat­re­ge­len uit­ge­scha­keld moe­ten wor­den om het mo­ge­lijk te ma­ken de soft­wa­re te in­stal­le­ren. Op een iPho­ne is daar een jail­break voor no­dig. Al­leen daar­mee kun je soft­wa­re in­stal­le­ren zon­der de di­gi­ta­le hand­te­ke­ning van Ap­ple, bui­ten de of­fi­ci­ë­le App Sto­re om. Bij An­droid is dat mak­ke­lij­ker, om­dat je met een klei­ne in­greep soft­wa­re van­uit el­ke wil­le­keu­ri­ge bron kunt in­stal­le­ren.

Ge­weerd uit de app-sto­res

Com­mer­ci­ë­le spi­o­na­ge­soft­wa­re is niet te krij­gen in de of­fi­ci­ë­le sto­res van Ap­ple en Goog­le. Ap­ple con­tro­leert voor het toe­la­ten van een app wel­ke ge­ge­vens die app op­vraagt, of dat past bij de op­ge­ge­ven ei­gen­schap­pen er van en of dat ook trans­pa­rant wordt ge­toond aan de ge­brui­ker. Daar vol­doen Flexis­py en mS­py na­tuur­lijk niet aan, want die wil­len na­tuur­lijk ge­woon stie­kem op de ach­ter­grond toe­gang krij­gen tot al­les.

Goog­le heeft ver­ge­lijk­ba­re tests voor de Play Sto­re. Goog­le kan zelfs apps die uit an­de­re bron­nen zijn ge­ïn­stal­leerd ach­ter­af ver­wij­de­ren als die kwaad­aar­dig blij­ken te zijn. Die func­tie heet Goog­le Play Pro­tect. Daar scant het sys­teem re­gel­ma­tig al­le gein­stal­leer­de apps voor. Als er dan scha­de­lij­ke apps wor­den ge­von­den, wor­den die ver­wij­derd en wordt de ge­brui­ker ge­waar­schuwd. Ook daar ver­trou­wen FlexiS­py en der­ge­lij­ke niet op high-tech trucs, maar in­stru­e­ren ze de stal­ker om die be­vei­li­ging tij­dens het in­stal­le­ren uit te scha­ke­len.

Ver­vol­gens pro­beert het spi­o­na­ge­pro­gram­ma toe­gang te krij­gen tot al­ler­lei ge­brui­kers­ge­ge­vens. Smartpho­nes heb­ben ech­ter een aan­zien­lijk ver­der­gaan­de be­vei-

li­ging dan een Win­dows-pc. Daar­op heeft elk ac­tief pro­gram­ma in prin­ci­pe toe­gang tot al­le ge­brui­kers­ge­ge­vens, voor zo­ver die niet ver­sleu­teld zijn. E-mails, con­tac­ten, do­cu­men­ten, de brow­se­ge­schie­de­nis: al­les is vrij toe­gan­ke­lijk. Een spi­o­na­ge­tro­jan voor een pc kan die ge­woon ver­za­me­len en ver­zen­den via in­ter­net.

Grens­over­schrij­ding

Bij de hui­di­ge mo­bie­le be­stu­rings­sys­te­men is het ech­ter ge­brui­ke­lijk dat el­ke app in een ei­gen be­vei­lig­de om­ge­ving draait, de zo­ge­he­ten sand­box. In die sand­box kan hij al­leen via vast be­paal­de API's com­mu­ni­ce­ren met het be­stu­rings­sys­teem, maar blijft hij ge­ï­so­leerd van an­de­re apps en pro­ces­sen. Dat ga­ran­deert dat de ge­ge­vens van What­sApp al­leen door What­sApp ge­zien en be­werkt kun­nen wor­den.

Spi­o­na­ge­soft­wa­re om­zeilt die hor­de het een­vou­dig­ste en bes­te door de be­vei­li­gings­me­cha­nis­men van het sys­teem uit te scha­ke­len en zich­zelf tot ab­so­luut heer­ser te pro­mo­ve­ren. Bij An­droid-sys­te­men heet dat 'roo­ten', waar­mee je de rech­ten krijgt van het bij­na al­mach­ti­ge root­ac­count. Bij iOS wordt een ont­snap­ping uit de rech­ten­ge­van­ge­nis een 'jail­break' ge­noemd. Als een be­zit­ter dat zelf al heeft ge­daan, heeft de stal­ker het mak­ke­lijk. An­ders moet hij zelf aan de slag. Op iOS kan dat nau­we­lijks an­ders, als je bij­voor­beeld wilt dat een an­de­re app toe­gang krijgt tot de ge­ge­vens van What­sApp.

The­o­re­tisch is er ech­ter nog een an­de­re aan­val mo­ge­lijk. Bij be­drij­ven wor­den de mo­bie­le ap­pa­ra­ten meest­al be­heerd via een cen­traal Mo­bi­le De­vi­ce Ma­na­ge­ment (MDM). Een der­ge­lijk MDM biedt ech­ter ook mo­ge­lijk­he­den voor spi­o­na­ge. On­langs ont­dek­te Cis­co Ta­los in In­dia een spi­o­na­ge­aan­val die daar­van pro­fi­teer­de. Daar­bij wer­den ver­schil­len­de iPho­nes on­der­ge­schikt ge­maakt aan een MDM van de aan­val­lers en ver­vol­gens voor­zien van ver­sies van What­sApp en Te­le­gram met tro­jans. Voor ge­bruik in com­mer­ci­ë­le apps voor de open­ba­re markt is die aan­pak ge­luk­kig niet ge­schikt, om­dat bij elk ont­dekt ge­val van spi­o­na­ge de be­trok­ken cer­ti­fi­ca­ten en MDM's on­gel­dig ge­maakt wor­den.

An­droid heeft ech­ter een soort 'MDM­light', waar­bij één app wordt aan­ge­we­zen als ap­pa­raat­be­heer­der. Dan krijgt die app spe­ci­a­le rech­ten, ook zon­der het ap­pa­raat te roo­ten. Hij kan dan toe­gang krij­gen tot func­ties als GPS-trac­king, op­roep­door­scha­ke­ling, proxy-in­stel­lin­gen en­zo­voort, en die ook wij­zi­gen. Spy­wa­re kan dan bo­ven­dien ook an­de­re apps in­stal­le­ren of ver­wij­de­ren. Daar­van ma­ken de pro­gram­ma's Om­niRAT en FlexiS­py ge­bruik om hun func­ti­o­na­li­teit uit te brei­den.

Open deu­ren

Het sand­box-con­cept is bo­ven­dien met op­zet niet wa­ter­dicht. Als het strikt zou wor­den toe­ge­past, zou het bij­voor­beeld on­mo­ge­lijk zijn om een net ge­maak­te fo­to via What­sApp naar een vriend te stu­ren. Daar­om kan een app met ex­tra rech­ten, waar de ont­wik­ke­laar spe­ci­fiek (zo­als bij An­droid) of im­pli­ciet (zo­als in iOS) om vraagt, toe­gang krij­gen tot be­paal­de ge­ge­vens van an­de­re apps. De­ze rech­ten moe­ten wel door de ge­brui­ker goed­ge­keurd wor­den, maar dat kan een stal­ker tij­dens het in­stal­le­ren na­tuur­lijk met­een ook doen. Zo­wel An­droid als iOS kun­nen die rech­ten la­ter nog­maals aan­ge­ven. Waar dat An­droid en iOS zit, staat in de ar­ti­ke­len op pa­gi­na 88 en 91).

De glad ge­pla­vei­de weg naar spi­o­na­ge ver­eist geen of mi­ni­ma­le in­gre­pen in het sys­teem. Zo­wel An­droid als iOS drin­gen er im­mers bij de ge­brui­ker op aan om een back-up te ma­ken in de cloud van de fa­bri­kant. Als dat is uit­ge­scha­keld op de te­le­foon van het slacht­of­fer, kan een stal­ker die cloud-back-up met slechts een paar klik­ken ac­ti­ve­ren.

De back-ups be­vat­ten al­le ge­ge­vens van het ap­pa­raat en zijn toe­gan­ke­lijk met de toe­gangs­ge­ge­vens van de ge­brui­ker. Als het wacht­woord van de cloud be­kend is, kun­nen spi­o­na­ge­tools de ge­ge­vens uit de cloud down­lo­a­den en de ge­wens­te in­for­ma­tie er­uit ha­len. Na­tuur­lijk werkt dat niet re­al­ti­me, zo­als bij spi­o­na­ge op het ap­pa­raat zelf. Om­dat de back-ups ech­ter meest­al da­ge­lijks wor­den bij­ge­werkt, is er geen groot tijd­ver­schil. Die om­weg via de iCloud wordt bij­voor­beeld ge­bruikt door de iOS-ver­sies van FlexiS­py en mS­py, als ze zon­der jail­break moe­ten wer­ken.

Spi­o­na­ge light

Met de toe­gangs­ge­ge­vens tot een ac­count heb je zelfs zon­der ex­tra hulp­mid­de­len toe­gang tot veel in­for­ma­tie. Je kunt dien­sten als Fa­ce­book en Goog­le Han­gouts mak­ke­lijk in je ei­gen web­brow­ser vol­gen. En bij bij­na al­le e-mail­dien­sten kun je ko­pie­ën van bin­nen­ko­men­de e-mail stil­le­tjes la­ten door­stu­ren. Mo­der­ne mes­sen­gers als What­sApp en Sig­nal kun je kop­pe­len aan een desktop-app of een brow­ser, die dan vaak we­ken of maan­den al­les kan mee­le­zen. De stal­ker hoeft daar­voor al­leen maar in een on­be­waakt ogen­blik een QR­co­de te scan­nen met de mo­bie­le te­le­foon van het slacht­of­fer.

Na­tuur­lijk la­ten al die ac­ti­vi­tei­ten hun spo­ren na. Hoe je sys­te­ma­tisch op zoek gaat en de juis­te con­clu­sies trekt, lees je in de vol­gen­de ar­ti­ke­len voor res­pec­tie­ve­lijk An­droid en iOS. (mdt)

Al op de eerste van de vijf pa­gi­na's blijkt dat die zo­ge­naam­de 'Up­da­te ser­vi­ce' over­al bij wil kun­nen.

Ach­ter de zo­ge­naam­de 'Up­da­te ser­vi­ce' gaat het spi­o­na­ge­pro­gram­ma mS­py schuil.

Newspapers in Dutch

Newspapers from Netherlands

© PressReader. All rights reserved.