Come la Cina ha trasformato un premiato hack di iPhone contro gli uiguri

Signora Tech | Getty

• Pechino ha usato segretamente un hack iPhone pluripremiato per spiare gli uiguri
• Gli Stati Uniti hanno seguito l'attacco e hanno informato Apple
• La Tianfu Cup è un luogo in cui la Cina può ottenere zero-day, affermano gli esperti

Nel marzo 2017, un gruppo di hacker dalla Cina è arrivato a Vancouver con un obiettivo: trovare i punti deboli nascosti all'interno delle tecnologie più popolari al mondo.

Il browser Chrome di Google, il sistema operativo Windows di Microsoft e gli iPhone di Apple erano tutti nel mirino. Ma nessuno stava infrangendo la legge. Queste erano solo alcune delle persone che hanno preso parte a Pwn2Own, una delle competizioni di hacking più prestigiose al mondo.

Era il decimo anniversario di Pwn2Own, un concorso che attira hacker d'élite da tutto il mondo con l'esca di grandi premi in denaro se riescono a sfruttare vulnerabilità software precedentemente sconosciute, note come zero-day. Una volta individuato un difetto, i dettagli vengono consegnati alle aziende coinvolte, dando loro il tempo di risolverlo. L'hacker, nel frattempo, se ne va con una ricompensa finanziaria e diritti eterni di vantarsi.

Per anni, gli hacker cinesi sono stati le forze più dominanti in eventi come Pwn2Own, guadagnando milioni di dollari in premi e affermandosi tra l'élite. Ma nel 2017 tutto si è fermato.

Una delle élite cinesi ha hackerato un iPhone... Praticamente dall'oggi al domani, l'intelligence cinese l'ha usata come arma contro una minoranza etnica assediata, colpendo prima che Apple potesse risolvere il problema. È stato un atto sfacciato eseguito in pieno giorno.

In una dichiarazione inaspettata, il miliardario fondatore e CEO del colosso cinese della sicurezza informatica Qihoo 360, una delle aziende tecnologiche più importanti in Cina, ha dichiarato pubblicamente criticato Cittadini cinesi che si sono recati all'estero per partecipare a concorsi di hacking. In un'intervista al sito di notizie cinese Sina, Zhou Hongyi ha affermato che fare bene in tali eventi rappresentava solo un successo immaginario. Zhou ha avvertito che una volta che gli hacker cinesi hanno mostrato le loro vulnerabilità alle competizioni all'estero, non possono più essere utilizzati. Invece, ha affermato, gli hacker e le loro conoscenze dovrebbero rimanere in Cina in modo da poter riconoscere la vera importanza e il valore strategico delle vulnerabilità del software.

Pechino acconsentì. Presto il governo cinese vietato ricercatori di sicurezza informatica dalla partecipazione a concorsi di hacking all'estero. Pochi mesi dopo, in Cina è spuntato un nuovo concorso per prendere il posto dei concorsi internazionali. La Tianfu Cup, come veniva chiamata, offriva premi che ammontavano a oltre un milione di dollari.

L'evento inaugurale si è tenuto a novembre 2018. Il primo premio di $ 200.000 è andato al ricercatore Qihoo 360 Qixun Zhao, che ha mostrato un notevole catena di exploit che gli hanno permesso di prendere il controllo in modo facile e affidabile anche degli iPhone più recenti e aggiornati. Da un punto di partenza all'interno del browser Web Safari, ha trovato un punto debole nel nucleo del sistema operativo dell'iPhone, il suo kernel. Il risultato? Un aggressore remoto potrebbe impossessarsi di qualsiasi iPhone che abbia visitato una pagina Web contenente il codice dannoso di Qixun. È il tipo di hack che può essere potenzialmente venduto per milioni di dollari sul mercato aperto per dare a criminali o governi la possibilità di spiare un gran numero di persone. Qixun lo chiamò Caos.

Due mesi dopo, a gennaio 2019, Apple ha pubblicato un aggiornamento che ha corretto il difetto. C'era poca fanfara, solo una breve nota di ringraziamento a coloro che l'hanno scoperto.

Ma nell'agosto di quell'anno, Google pubblicò un analisi straordinaria in una campagna di hacking che si diceva stesse sfruttando in massa gli iPhone. I ricercatori hanno analizzato cinque distinte catene di exploit che avevano individuato in natura. Questi includevano l'exploit che ha fatto vincere a Qixun il primo premio a Tianfu, che secondo loro era stato scoperto anche da un attaccante senza nome.

I ricercatori di Google hanno sottolineato le somiglianze tra gli attacchi che hanno catturato mentre venivano usati nel mondo reale e il Caos. Ciò che la loro immersione profonda ha omesso, tuttavia, sono state le identità delle vittime e degli aggressori: i musulmani uiguri e il governo cinese.

Una campagna di oppressione

Negli ultimi sette anni, la Cina ha commesso violazioni dei diritti umani contro il popolo uiguro e altri gruppi minoritari nella provincia occidentale dello Xinjiang. Aspetti ben documentati della campagna includono campi di detenzione, sterilizzazione obbligatoria sistematica, torture e stupri organizzati , lavoro forzato e uno sforzo di sorveglianza senza precedenti. Funzionari a Pechino sostengono che la Cina sta agendo per combattere il terrorismo e l'estremismo, ma gli Stati Uniti, tra gli altri paesi, ha chiamato le azioni genocidio . Gli abusi si sommano a un'alta tecnologia senza precedenti campagna di oppressione che domina le vite degli uiguri, basandosi in parte su campagne di hacking mirate.

L'hacking cinese degli uiguri è così aggressivo da essere efficace globale , che si estende ben oltre i confini del paese. Prende di mira giornalisti, dissidenti e chiunque sollevi i sospetti di Pechino di lealtà insufficiente.

Poco dopo che i ricercatori di Google hanno notato gli attacchi, i media rapporti collegavano i punti: gli obiettivi della campagna che utilizzava l'exploit del Caos erano gli uiguri e gli hacker erano legati al governo cinese. Apple ha pubblicato un blog raro inviare ciò ha confermato che l'attacco era avvenuto nell'arco di due mesi: cioè il periodo che inizia subito dopo che Qixun ha vinto la Tianfu Cup e si estende fino a quando Apple non ha emesso la correzione.

Storia correlata

Apple afferma che i musulmani uiguri cinesi sono stati presi di mira nella recente campagna di hacking di iPhone Il gigante della tecnologia ha rilasciato una rara dichiarazione che ha irritato l'analisi di Google della nuova operazione di hacking.

Il MIT Technology Review ha appreso che la sorveglianza del governo degli Stati Uniti ha individuato in modo indipendente l'exploit del caos utilizzato contro gli uiguri e ha informato Apple. (Sia Apple che Google hanno rifiutato di commentare questa storia.)

Gli americani hanno concluso che i cinesi hanno sostanzialmente seguito il piano di valore strategico delineato da Zhou Hongyi di Qihoo; che la Tianfu Cup aveva generato un hack importante; e che l'impresa era stata rapidamente consegnata all'intelligence cinese, che poi l'ha usata per spiare gli uiguri.

Gli Stati Uniti hanno raccolto tutti i dettagli dell'exploit utilizzato per hackerare gli uiguri e corrispondeva all'hack del caos di Tianfu, ha appreso il MIT Technology Review. (di Google esame approfondito in seguito ha notato quanto siano strutturalmente simili gli exploit.) Gli Stati Uniti hanno informato tranquillamente Apple, che aveva già tracciato l'attacco da sola ed è giunta alla stessa conclusione: l'hacking di Tianfu e l'hacking uiguro erano la stessa cosa. L'azienda ha dato la priorità a una soluzione difficile.

Qihoo 360 e Tianfu Cup non hanno risposto a più richieste di commento. Quando abbiamo contattato Qixun Zhao tramite Twitter, ha negato con forza il coinvolgimento, anche se ha anche affermato di non ricordare chi è entrato in possesso del codice di exploit. In un primo momento, ha suggerito che l'exploit esercitato contro gli uiguri fosse probabilmente utilizzato dopo il rilascio della patch. Al contrario, sia Google che Apple hanno ampiamente documentato come questo exploit è stato utilizzato prima di gennaio 2019. Ha anche sottolineato che il suo exploit 'Chaos' ha condiviso il codice di altri hacker. In effetti, all'interno di Apple e dell'intelligence statunitense, la conclusione è stata a lungo che questi exploit non sono semplicemente simili, ma sono gli stessi. Sebbene Qixun abbia scritto l'exploit, non c'è nulla che suggerisca che sia stato coinvolto personalmente in quello che è successo dopo l'evento di Tianfu (cinese legge richiede cittadini e organizzazioni a fornire supporto e assistenza alle agenzie di intelligence del paese ogniqualvolta richiesto.)

Quando le vulnerabilità sono state chiuse, Tianfu aveva raggiunto il suo obiettivo.

La decisione originale di non consentire agli hacker di recarsi all'estero per le competizioni sembra essere motivata dal desiderio di mantenere scoperte le vulnerabilità all'interno della Cina, afferma Adam Segal, esperto di politica cinese di sicurezza informatica presso il Council for Foreign Relations. Ha anche tagliato i migliori hacker cinesi da altre fonti di reddito in modo che siano costretti a un legame più stretto con lo stato e le società consolidate, dice.

L'incidente è grave. Una delle élite cinesi ha hackerato un iPhone e ha ottenuto il plauso del pubblico e una grande quantità di denaro per averlo fatto. Praticamente dall'oggi al domani, l'intelligence cinese l'ha usata come arma contro una minoranza etnica assediata, colpendo prima che Apple potesse risolvere il problema. Fu un atto sfacciato compiuto in pieno giorno e con la consapevolezza che non ci sarebbero state conseguenze di cui parlare.

Per quanto riguarda i collegamenti

Oggi la Tianfu Cup sta per entrare nel suo terzo anno ed è sponsorizzata da alcune delle più grandi aziende tecnologiche cinesi: Alibaba, Baidu e Qihoo 360 sono tra gli organizzatori. Ma i funzionari americani e gli esperti di sicurezza sono sempre più preoccupati per i legami tra coloro che sono coinvolti nella competizione e l'esercito cinese.

Qihoo, che ha un valore di oltre $ 9 miliardi, è stata una delle dozzine di società cinesi aggiunte a lista nera commerciale dagli Stati Uniti nel 2020 dopo una valutazione del Dipartimento del Commercio degli Stati Uniti secondo cui la società potrebbe supportare l'attività militare cinese.

Anche altri coinvolti nell'evento hanno lanciato l'allarme a Washington. La società di Pechino Topsec, che aiuta a organizzare Tianfu, presumibilmente fornisce formazione, servizi e reclutamento di hacking per il governo e ha assunto hacker nazionalisti, secondo ai funzionari statunitensi.

L'azienda è collegato alle campagne di cyber-spionaggio tra cui l'hacking del 2015 del colosso assicurativo statunitense Anthem, a connessione che è stato scoperto accidentalmente quando gli hacker hanno utilizzato lo stesso server per tentare di entrare in un appaltatore militare statunitense e per ospitare una competizione di hacking universitaria cinese.

Storia correlata

Gli hacker stanno trovando modi per nascondersi all'interno del giardino recintato di Apple

L'approccio bloccato dell'iPhone alla sicurezza si sta diffondendo, ma gli hacker avanzati hanno scoperto che barriere più alte sono ottime per evitare la cattura.

Altri organizzatori e sponsor includono NSFocus, nato direttamente dal primo movimento hacker nazionalista cinese chiamato Green Army, e Venus Tech, un prolifico Appaltatore militare cinese che è stato collegato all'hacking offensivo.

Un altro organizzatore di Tianfu, il gruppo statale cinese di tecnologia elettronica, ha una filiale di sorveglianza chiamata Hikvision, che mette a disposizione Strumenti di analisi e riconoscimento facciale uiguri al governo cinese. È stato aggiunto a una lista nera commerciale degli Stati Uniti nel 2019.

Tuttavia, gli esperti statunitensi affermano che i collegamenti tra l'evento e l'intelligence cinese sono chiari.

Penso che non sia solo un luogo in cui la Cina può ottenere zero-day, ma è anche un grande luogo di reclutamento, afferma Scott Henderson, analista del team di spionaggio informatico di FireEye, un'importante società di sicurezza con sede in California.

I collegamenti di Tianfu alla sorveglianza e al genocidio degli uiguri mostrano che ottenere un accesso anticipato ai bug può essere un'arma potente. Infatti il spericolato la follia hacker che i gruppi cinesi hanno lanciato contro Microsoft Exchange all'inizio del 2021 presenta alcune sorprendenti somiglianze.

In quel caso, un ricercatore taiwanese ha scoperto le falle di sicurezza e le ha passate a Microsoft, che poi privatamente li ha condivisi con i partner di sicurezza. Ma prima che potesse essere rilasciata una soluzione, i gruppi di hacker cinesi hanno iniziato a sfruttare il difetto in tutto il mondo. Microsoft, che è stata costretta a eseguire rapidamente una correzione due settimane prima del previsto, sta studiando il potenziale che il bug fosse trapelato.

Questi bug sono incredibilmente preziosi, non solo in termini finanziari, ma nella loro capacità di creare una finestra aperta per lo spionaggio e l'oppressione.

Il ricercatore di Google Ian Beer detto altrettanto nel rapporto originale che descrive in dettaglio la catena di exploit. Non entrerò in discussione se questi exploit costano $ 1 milione, $ 2 milioni o $ 20 milioni, ha scritto. Suggerirò invece che tutti questi cartellini dei prezzi sembrano bassi per la capacità di indirizzare e monitorare le attività private di intere popolazioni in tempo reale.

nascondere