Vault 7 es una serie de documentos que WikiLeaks comenzó a publicar el 7 de marzo de 2017, detallando las actividades y capacidades de la Agencia Central de Inteligencia de los Estados Unidos (CIA) para realizar vigilancia electrónica y guerra cibernética . Los archivos, que datan de 2013 a 2016, incluyen detalles sobre las capacidades del software de la agencia, como la capacidad de comprometer automóviles , televisores inteligentes , [1] navegadores web como Google Chrome , Microsoft Edge , Mozilla Firefox y Opera , [2] [3] los sistemas operativos de la mayoría de los teléfonos inteligentes, incluidos iOS de Apple y Android de Google , y sistemas operativos de computadora como Microsoft Windows , macOS y Linux . [4] [5] Una auditoría interna de la CIA identificó 91 herramientas de malware de más de 500 herramientas en uso en 2016 que se vieron comprometidas por la publicación. [6] Las herramientas fueron desarrolladas por la Rama de Soporte de Operaciones de la CIA. [7]
La publicación de Vault 7 llevó a la CIA a redefinir WikiLeaks como un "servicio de inteligencia hostil no estatal". [8] En julio de 2022, el ex ingeniero de software de la CIA Joshua Schulte fue declarado culpable de filtrar los documentos a WikiLeaks, [9] y en febrero de 2024 fue sentenciado a 40 años de prisión por cargos de espionaje y, por separado, a 80 meses por cargos de pornografía infantil. [10]
En febrero de 2017, WikiLeaks comenzó a anunciar el lanzamiento de "Vault 7" con una serie de mensajes crípticos en Twitter, según informes de los medios. [11] Más tarde, en febrero, WikiLeaks publicó documentos clasificados que describen cómo la CIA monitoreó las elecciones presidenciales francesas de 2012. [ 12] El comunicado de prensa sobre la filtración declaró que se publicó "como contexto para su próxima serie CIA Vault 7". [13]
En marzo de 2017, funcionarios de inteligencia y de aplicación de la ley de Estados Unidos dijeron a la agencia internacional de noticias Reuters que habían estado al tanto de la violación de seguridad de la CIA que condujo a Vault 7 desde fines de 2016. Dos funcionarios dijeron que se estaban centrando en los "contratistas" como la posible fuente de las filtraciones. [14]
En 2017, las fuerzas del orden federales identificaron al ingeniero de software de la CIA Joshua Adam Schulte como una fuente sospechosa de Vault 7. [15] [16] Schulte se declaró inocente y fue condenado en julio de 2022 por filtrar los documentos a WikiLeaks.
El 13 de abril de 2017, el director de la CIA, Mike Pompeo, declaró que WikiLeaks era un "servicio de inteligencia hostil". [17] En septiembre de 2021, Yahoo! News informó que en 2017, a raíz de las filtraciones de Vault 7, la CIA consideró secuestrar o asesinar a Assange, espiar a los asociados de WikiLeaks, sembrar discordia entre sus miembros y robar sus dispositivos electrónicos. Después de muchos meses de deliberación, todos los planes propuestos habían sido descartados debido a una combinación de objeciones legales y morales. Según el artículo de Yahoo News de 2021, un ex funcionario de seguridad nacional de Trump declaró: "Nunca deberíamos actuar por deseo de venganza". [18]
La publicación de Vault 7 llevó a la CIA a redefinir WikiLeaks como un "servicio de inteligencia hostil no estatal". [8] En julio de 2022, el ex ingeniero de software de la CIA Joshua Schulte fue declarado culpable de filtrar los documentos a WikiLeaks, [9] y en febrero de 2024 fue sentenciado a 40 años de prisión. [10]
El primer lote de documentos, denominado "Año Cero", fue publicado por WikiLeaks el 7 de marzo de 2017 y constaba de 7.818 páginas web con 943 archivos adjuntos, supuestamente del Centro de Inteligencia Cibernética [19], que contenían más páginas que las que publicó en su momento el ex contratista y filtrador de la NSA , Edward Snowden [20] . WikiLeaks había publicado el Año Cero en línea en un archivo cerrado a principios de esa semana, y reveló la frase de contraseña el día 7. La frase de contraseña hacía referencia a una cita del presidente Kennedy de que quería "astillar la CIA en mil pedazos y esparcirla a los cuatro vientos". [21]
WikiLeaks no identificó la fuente, pero dijo que los archivos habían "circulado entre antiguos piratas informáticos y contratistas del gobierno estadounidense de manera no autorizada, uno de los cuales ha proporcionado a WikiLeaks partes del archivo". [1] Según WikiLeaks, la fuente "desea iniciar un debate público sobre la seguridad, creación, uso, proliferación y control democrático de las armas cibernéticas", ya que estas herramientas plantean preguntas que "urgentemente necesitan ser debatidas en público, incluyendo si las capacidades de piratería de la CIA exceden sus poderes obligatorios y el problema de la supervisión pública de la agencia". [1]
WikiLeaks intentó censurar los nombres y otros datos de identificación de los documentos antes de su publicación, [1] pero enfrentó críticas por dejar algunos detalles clave sin censurar. [22] WikiLeaks también intentó permitir que se establecieran conexiones entre personas a través de identificadores únicos generados por WikiLeaks. [23] [24] También dijo que pospondría la publicación del código fuente de las armas cibernéticas, que al parecer tiene varios cientos de millones de líneas de largo, "hasta que surja un consenso sobre la naturaleza técnica y política del programa de la CIA y cómo se deben analizar, desarmar y publicar esas 'armas'". [1] El fundador de WikiLeaks, Julian Assange, afirmó que esto era solo una parte de una serie más grande. [20]
La CIA publicó un comunicado en el que decía: "El público estadounidense debería estar profundamente preocupado por cualquier revelación de WikiLeaks diseñada para dañar la capacidad de la comunidad de inteligencia de proteger a Estados Unidos contra terroristas u otros adversarios. Tales revelaciones no sólo ponen en peligro al personal y las operaciones estadounidenses, sino que también equipan a nuestros adversarios con herramientas e información para hacernos daño". [25]
En una declaración emitida el 19 de marzo de 2017, Assange dijo que las empresas de tecnología que habían sido contactadas no habían estado de acuerdo, en desacuerdo o cuestionado lo que él denominó como el plan de divulgación estándar de la industria de WikiLeaks. El tiempo estándar de divulgación de una vulnerabilidad es de 90 días después de que la empresa responsable de parchear el software recibe todos los detalles de la falla. [26] Según WikiLeaks, solo Mozilla había recibido información sobre las vulnerabilidades, mientras que "Google y algunas otras empresas" solo confirmaron haber recibido la notificación inicial. WikiLeaks declaró: "La mayoría de estas empresas rezagadas tienen conflictos de intereses debido a su trabajo clasificado con agencias del gobierno de Estados Unidos. En la práctica, estas asociaciones limitan al personal de la industria con autorizaciones de seguridad de Estados Unidos para reparar los agujeros basados en información filtrada de la CIA. Si estas empresas eligen no proteger a sus usuarios contra los ataques de la CIA o la NSA, los usuarios pueden preferir organizaciones como Mozilla o empresas europeas que priorizan a sus usuarios sobre los contratos gubernamentales". [27] [28]
El 23 de marzo de 2017, WikiLeaks publicó la segunda versión del material de Vault 7, titulada "Dark Matter". La publicación incluía documentación sobre varios intentos de la CIA de hackear los iPhones y Macs de Apple. [29] [30] [31] Entre ellos se encontraba el malware Sonic Screw , que podía usar la interfaz Thunderbolt para eludir la protección del firmware con contraseña de Apple. [32]
El 31 de marzo de 2017, WikiLeaks publicó la tercera parte, "Marble", que contenía 676 archivos de código fuente del Marble Framework de la CIA. Se utiliza para ofuscar o encriptar el código de malware en un intento de hacer que las empresas antivirus o los investigadores no puedan entender el código o atribuir su origen. Según WikiLeaks, el código también incluía un desofuscador para revertir los efectos de ofuscación. [33] [34]
El 7 de abril de 2017, WikiLeaks publicó el cuarto conjunto, "Grasshopper". La publicación contiene 27 documentos del marco Grasshopper de la CIA, que la CIA utiliza para crear cargas útiles de malware personalizadas y persistentes para los sistemas operativos Microsoft Windows. Grasshopper se centró en la evasión de productos de seguridad personal (PSP). Los PSP son software antivirus como MS Security Essentials , Symantec Endpoint o Kaspersky IS . [34] [35]
El 14 de abril de 2017, WikiLeaks publicó la quinta parte, "HIVE", basada en el programa de virus de alto secreto de la CIA creado por su "Embedded Development Branch" (EDB). Los seis documentos publicados por WikiLeaks están relacionados con el paquete de malware multiplataforma de la CIA HIVE. Una infraestructura de back-end de la CIA con una interfaz HTTPS de cara al público utilizada por la CIA para transferir información desde computadoras de escritorio y teléfonos inteligentes de destino a la CIA, y abrir esos dispositivos para recibir más comandos de los operadores de la CIA para ejecutar tareas específicas, todo ello mientras oculta su presencia detrás de dominios públicos de apariencia poco sospechosa a través de una interfaz de enmascaramiento conocida como "Switchblade" (también conocida como Listening Post (LP) y Command and Control (C2)). [36]
El 21 de abril de 2017, WikiLeaks publicó la sexta parte, "Weeping Angel" (nombrada por un monstruo del programa de televisión Doctor Who [37] [38] ), una herramienta de piratería desarrollada conjuntamente por la CIA y el MI5 que se utiliza para explotar una serie de televisores inteligentes con el fin de recopilar información de inteligencia encubierta. Una vez instalada en televisores adecuados con una memoria USB, la herramienta de piratería permite que los micrófonos integrados de esos televisores y posiblemente las cámaras de vídeo graben su entorno, mientras que los televisores parecen estar apagados falsamente. Los datos grabados se almacenan localmente en la memoria del televisor o se envían a través de Internet a la CIA. Supuestamente, tanto la CIA como las agencias del MI5 colaboraron para desarrollar ese malware en talleres de desarrollo conjunto. La experta en seguridad Sarah Zatko dijo sobre los datos que "nada en esto sugiere que se utilizaría para la vigilancia masiva", y Consumer Reports dijo que solo algunos de los primeros televisores inteligentes con micrófonos y cámaras integrados se vieron afectados. [39] [40] [41]
El 28 de abril de 2017, WikiLeaks publicó la séptima parte, "Scribbles". La filtración incluye documentación y código fuente de una herramienta destinada a rastrear documentos filtrados a denunciantes y periodistas mediante la incorporación de etiquetas de balizas web en documentos clasificados para rastrear quién los filtró. [42] La herramienta afecta a los documentos de Microsoft Office, específicamente "Microsoft Office 2013 (en Windows 8.1 x64), documentos de las versiones de Office 97-2016 (los documentos de Office 95 no funcionarán) y documentos que no estén bloqueados, encriptados o protegidos con contraseña". Cuando se abre un documento con marca de agua de la CIA, se carga una imagen invisible dentro del documento que está alojado en el servidor de la agencia, lo que genera una solicitud HTTP . Luego, la solicitud se registra en el servidor, lo que le brinda a la agencia de inteligencia información sobre quién lo está abriendo y dónde se está abriendo. Sin embargo, si se abre un documento con marca de agua en un procesador de texto alternativo, la imagen puede ser visible para el espectador. La documentación también indica que si el documento se visualiza sin conexión o en modo protegido, la imagen con marca de agua no podrá comunicarse con su servidor local. Esto solo se anula cuando un usuario habilita la edición. [43]
El 5 de mayo de 2017, WikiLeaks publicó la octava parte, "Archimedes". Según el instructor del Instituto SANS de EE. UU. Jake Williams, quien analizó los documentos publicados, Archimedes es un virus que anteriormente tenía el nombre en código "Fulcrum". Según el experto en seguridad cibernética y miembro de ENISA Pierluigi Paganini, los operadores de la CIA utilizan Archimedes para redirigir las sesiones del navegador web de la red de área local (LAN) desde un ordenador objetivo a un ordenador controlado por la CIA antes de que las sesiones se enruten a los usuarios. Este tipo de ataque se conoce como " man-in-the-middle" (MitM). Con su publicación, WikiLeaks incluyó una serie de hashes que, según afirman, pueden usarse para identificar potencialmente el virus Archimedes y protegerse contra él en el futuro. Paganini afirmó que los posibles ordenadores objetivo pueden buscar esos hashes en sus sistemas para comprobar si sus sistemas han sido atacados por la CIA. [44]
El 12 de mayo de 2017, WikiLeaks publicó la novena parte, "AfterMidnight" y "Assassin". AfterMidnight es un programa malicioso que se instala en una computadora personal de destino y se disfraza como un archivo DLL , que se ejecuta mientras la computadora del usuario se reinicia. Luego activa una conexión con la computadora de Comando y Control (C2) de la CIA, desde donde descarga varios módulos para ejecutarse. En cuanto a Assassin, es muy similar a su contraparte AfterMidnight, pero se ejecuta engañosamente dentro de un proceso de servicio de Windows . Según se informa, los operadores de la CIA usan Assassin como C2 para ejecutar una serie de tareas, recopilar y luego enviar periódicamente datos de usuario a los puestos de escucha (LP) de la CIA. Similar al comportamiento de un troyano de puerta trasera . Tanto AfterMidnight como Assassin se ejecutan en el sistema operativo Windows, son persistentes y envían periódicamente señales a su LP configurado para solicitar tareas o enviar información privada a la CIA, así como para desinstalarse automáticamente en una fecha y hora establecidas. [45]
El 19 de mayo de 2017, WikiLeaks publicó la décima parte, "Athena". La guía de usuario publicada, la demostración y los documentos relacionados se crearon entre septiembre de 2015 y febrero de 2016. Se trata de un malware supuestamente desarrollado para la CIA en agosto de 2015, aproximadamente un mes después de que Microsoft lanzara Windows 10 con sus firmes declaraciones sobre lo difícil que era comprometerlo. Tanto el malware principal "Athena" como su malware secundario llamado "Hera" son similares en teoría al malware Grasshopper y AfterMidnight pero con algunas diferencias significativas. Una de esas diferencias es que Athena y Hera fueron desarrollados por la CIA con una corporación privada de New Hampshire llamada Siege Technologies. Durante una entrevista de Bloomberg en 2014, el fundador de Siege Technologies confirmó y justificó el desarrollo de dicho malware. El malware Athena secuestra por completo los servicios de acceso remoto de Windows , mientras que Hera secuestra el servicio Dnscache de Windows . Tanto Athena como Hera también afectan a todas las versiones actuales de Windows, incluyendo Windows Server 2012 y Windows 10. Otra diferencia está en los tipos de cifrado utilizados entre las computadoras infectadas y los puestos de escucha de la CIA (LP). En cuanto a las similitudes, explotan archivos DLL persistentes para crear una puerta trasera para comunicarse con el LP de la CIA, robar datos privados, luego enviarlos a los servidores de la CIA o eliminar datos privados en la computadora de destino, así como Comando y Control (C2) para que los agentes de la CIA envíen software malicioso adicional para ejecutar tareas específicas en la computadora atacada. Todo lo anterior diseñado para engañar al software de seguridad informática. Además de los documentos detallados publicados, WikiLeaks no proporcionó ninguna evidencia que sugiera que la CIA usó Athena o no. [46]
El 1 de junio de 2017, WikiLeaks publicó la parte 11, "Pandemic". Esta herramienta es un implante persistente que afecta a las máquinas Windows con carpetas compartidas. Funciona como un controlador de filtro del sistema de archivos en una computadora infectada y escucha el tráfico del Bloque de mensajes del servidor mientras detecta intentos de descarga de otras computadoras en una red local. "Pandemic" responderá a una solicitud de descarga en nombre de la computadora infectada. Sin embargo, reemplazará el archivo legítimo con malware. Para ofuscar sus actividades, "Pandemic" solo modifica o reemplaza el archivo legítimo en tránsito, dejando el original en el servidor sin cambios. El implante permite modificar 20 archivos a la vez, con un tamaño máximo de archivo individual de 800 MB. Si bien no se indica en la documentación filtrada, es posible que las computadoras recién infectadas se conviertan en servidores de archivos de "Pandemic", lo que permite que el implante alcance nuevos objetivos en una red local. [47]
El 15 de junio de 2017, WikiLeaks publicó la parte 12, titulada "Cherry Blossom". Cherry Blossom utilizó un servidor de comando y control llamado Cherry Tree y un firmware de enrutador personalizado llamado FlyTrap para monitorear la actividad de Internet de los objetivos, buscar "direcciones de correo electrónico, nombres de usuario de chat, direcciones MAC y números de VoIP" y redirigir el tráfico. [48]
El 22 de junio de 2017, WikiLeaks publicó la parte 13, los manuales de "Brutal Kangaroo". Brutal Kangaroo era un proyecto centrado en el malware de la CIA diseñado para comprometer redes informáticas con espacios de aire mediante unidades USB infectadas. Brutal Kangaroo incluía las herramientas Drifting Deadline, la herramienta principal, Shattered Assurance, un servidor que automatiza la infección de unidades USB, Shadow, una herramienta para coordinar las máquinas comprometidas, y Broken Promise, una herramienta para exfiltrar datos de las redes con espacios de aire. [49]
El 28 de junio de 2017, WikiLeaks publicó la parte 14, el manual del proyecto titulado "Elsa". Elsa era una herramienta utilizada para rastrear dispositivos Windows en redes WiFi cercanas. [50]
El 29 de junio de 2017, WikiLeaks publicó la parte 15, el manual del proyecto "OutlawCountry". OutlawCountry era un módulo del núcleo para Linux 2.6 que permitía a los agentes de la CIA espiar servidores Linux y redirigir el tráfico saliente desde una computadora Linux a un sitio elegido. [51]
El 6 de julio de 2017, WikiLeaks publicó la parte 16, el manual del proyecto "BothanSpy". BothanSpy era una herramienta de piratería de la CIA diseñada para robar credenciales SSH de computadoras con Windows. [52]
El 13 de julio de 2017, WikiLeaks publicó la parte 17, el manual del proyecto "Highrise". La herramienta de piratería Highrise, también conocida como Tidecheck, se utilizó para interceptar y redirigir mensajes SMS a teléfonos Android con versiones 4.0 a 4.3. Highrise también podría usarse como un canal de comunicaciones encriptado entre agentes de la CIA y supervisores. [53]
El 19 de julio de 2017, WikiLeaks publicó la parte 18, documentos de Raytheon Blackbird Technologies para el proyecto "UMBRAGE Component Library" (UCL) sobre malware y sus vectores de ataque . Según WikiLeaks, analizó los ataques de malware en la red y dio "recomendaciones a los equipos de desarrollo de la CIA para una mayor investigación y desarrollo de PoC para sus propios proyectos de malware". En su mayoría contenía ideas de prueba de concepto basadas en parte en documentos públicos. [54]
El 27 de julio de 2017, WikiLeaks publicó la parte 19, los manuales del proyecto "Imperial". Imperial incluía tres herramientas: Achilles, Aeris y SeaPea. Achilles convertía los archivos de instalación DMG de MacOS en un malware troyano. Aeris era un implante de malware para sistemas POSIX y SeaPea era un rootkit para OS X. [55]
El 3 de agosto de 2017, WikiLeaks publicó la parte 20, los manuales del proyecto "Dumbo". Dumbo era una herramienta que la Agencia utilizaba para desactivar cámaras web, micrófonos y otras herramientas de vigilancia a través de WiFi y Bluetooth para permitir que los agentes de campo llevaran a cabo sus misiones. [56]
El 10 de agosto de 2017, WikiLeaks publicó la parte 21, el manual del proyecto CouchPotato. CouchPotato era una herramienta para interceptar y guardar transmisiones de video remotas, lo que le permitió a la CIA espiar los sistemas de vigilancia de otras personas. [57]
El 24 de agosto de 2017, WikiLeaks publicó la parte 22, el proyecto "ExpressLane". Estos documentos pusieron de relieve una de las operaciones cibernéticas que lleva a cabo la CIA contra otros servicios con los que mantiene vínculos, entre ellos la Agencia de Seguridad Nacional (NSA), el Departamento de Seguridad Nacional (DHS) y el Buró Federal de Investigaciones (FBI).
ExpressLane, una herramienta encubierta de recolección de información, fue utilizada por la CIA para exfiltrar los sistemas de recolección de datos biométricos de los servicios con los que se relaciona. ExpressLane fue instalada y puesta en funcionamiento con el pretexto de actualizar el software biométrico de los servicios de enlace por agentes de la Oficina de Servicios Técnicos (OTS) de la CIA sin su conocimiento. [58] [ fuente no confiable ]
El 31 de agosto de 2017, WikiLeaks publicó la parte 23, el manual del proyecto Angelfire. Angelfire era un marco de malware creado para infectar computadoras con Windows XP y Windows 7, compuesto por cinco partes. Solartime era el malware que modificaba el sector de arranque para cargar Wolfcreek, que era un controlador autocargable que cargaba otros controladores. Keystone era responsable de cargar otro malware. BadMFS era un sistema de archivos encubierto que ocultaba el malware, y Windows Transitory File System era una alternativa más nueva a BadMFS. El manual incluía una larga lista de problemas con las herramientas. [59]
Protego, la parte 24 de los documentos de Vault 7, se publicó el 7 de septiembre de 2017. Según WikiLeaks, Protego "es un sistema de control de misiles basado en PIC que fue desarrollado por Raytheon". [60] [ fuente no confiable ]
El 9 de noviembre de 2017, WikiLeaks comenzó a publicar Vault 8, que describió como "código fuente y análisis de proyectos de software de la CIA, incluidos los descritos en la serie Vault7". La intención declarada de la publicación de Vault 8 era "permitir a los periodistas de investigación, expertos forenses y al público en general identificar y comprender mejor los componentes de la infraestructura encubierta de la CIA". [61] La única publicación de Vault 8 ha sido el código fuente y los registros de desarrollo de Hive, una plataforma de comunicaciones encubiertas para el malware de la CIA. WikiLeaks publicó la documentación de Hive como parte de Vault 7 el 14 de abril de 2017.
En octubre de 2021, se descubrió una nueva puerta trasera basada en el código fuente de Hive que se utilizaba "para recopilar información confidencial y proporcionar un punto de apoyo para intrusiones posteriores". Los investigadores lo llamaron xdr33 y publicaron un informe al respecto en enero de 2022. [62] [63] [64] El malware apunta a un dispositivo F5 no especificado y permite a los piratas informáticos cargar y descargar archivos. [65] También permite espiar el tráfico de la red y ejecutar comandos en el dispositivo. [64] [66]
WikiLeaks afirmó que los documentos provenían de "una red aislada y de alta seguridad situada dentro del Centro de Inteligencia Cibernética (CCI) de la CIA en Langley , Virginia". [67] Los documentos permitieron a WikiLeaks determinar parcialmente la estructura y organización del CCI. Según se informa, el CCI tiene una unidad dedicada a comprometer los productos de Apple. [68]
La empresa de ciberseguridad Symantec analizó los documentos de Vault 7 y descubrió que algunos de los programas descritos coincidían estrechamente con los ciberataques de "Longhorn", que había monitoreado desde 2014. Symantec había sospechado previamente que "Longhorn" estaba patrocinado por el gobierno y había rastreado su uso contra 40 objetivos en 16 países. [69] [70]
La primera parte de los documentos hechos públicos el 7 de marzo de 2017, Vault 7 "Year Zero", reveló que una unidad de alto secreto de la CIA utilizó la ciudad alemana de Frankfurt como punto de partida para ataques de piratería informática en Europa , China y Oriente Medio . Según los documentos, el gobierno de los EE. UU. utiliza su Oficina del Consulado General en Frankfurt como base de piratas informáticos para operaciones cibernéticas . Los documentos de WikiLeaks revelan que los piratas informáticos de Frankfurt, parte del Centro de Inteligencia Cibernética de Europa (CCIE), recibieron identidades encubiertas y pasaportes diplomáticos para ofuscar a los funcionarios de aduanas y poder ingresar a Alemania. [68] [71]
El 8 de marzo de 2017 , el fiscal general del Tribunal Federal de Justicia de Karlsruhe , Peter Frank, anunció que el gobierno estaba llevando a cabo una investigación preliminar para ver si iniciaría una investigación importante sobre las actividades que se llevaban a cabo fuera del consulado y también, de manera más amplia, si la CIA estaba atacando a personas en Alemania. [72] El ministro de Asuntos Exteriores de Alemania, Sigmar Gabriel, del Partido Socialdemócrata, respondió a los documentos de Vault 7 "Year Zero" de que la CIA utilizó Frankfurt como base para sus operaciones de espionaje digital, diciendo que Alemania no tenía ninguna información sobre los ciberataques. [73]
Según se informa, los documentos revelaron que la agencia había reunido una gran colección de técnicas de ciberataque y malware producido por otros piratas informáticos. Según se informa, esta biblioteca era mantenida por el grupo UMBRAGE de la División de Dispositivos Remotos de la CIA, y los ejemplos de uso de estas técnicas y el código fuente se encontraban en el repositorio git "Umbrage Component Library" .
El día en que se publicaron por primera vez los documentos de Vault 7, WikiLeaks describió a UMBRAGE como "una biblioteca sustancial de técnicas de ataque 'robadas' de malware producido en otros estados, incluida la Federación Rusa", y tuiteó: "La CIA roba virus y malware de otros grupos para facilitar ataques de falsa bandera ". [74] Según WikiLeaks, al reciclar las técnicas de terceros a través de UMBRAGE, la CIA no solo puede aumentar su número total de ataques, [75] sino que también puede engañar a los investigadores forenses al disfrazar estos ataques como el trabajo de otros grupos y naciones. [1] [68] Entre las técnicas prestadas por UMBRAGE estaba la implementación de borrado de archivos utilizada por Shamoon . Según PC World , algunas de las técnicas y fragmentos de código han sido utilizados por la CIA en sus proyectos internos, cuyo resultado no se puede inferir de las filtraciones. PC World comentó que la práctica de plantar " bandera falsa " para disuadir la atribución no era una novedad en los ciberataques: grupos de piratas informáticos rusos, norcoreanos e israelíes se encuentran entre los sospechosos de utilizar banderas falsas. [76]
Pronto surgió una teoría conspirativa que afirmaba que la CIA había incriminado al gobierno ruso por interferir en las elecciones estadounidenses de 2016. Comentaristas conservadores como Sean Hannity y Ann Coulter especularon sobre esta posibilidad en Twitter, y Rush Limbaugh lo discutió en su programa de radio. [77] El ministro de Asuntos Exteriores ruso, Serguéi Lavrov, dijo que Vault 7 demostró que "la CIA podría tener acceso a esas 'huellas dactilares' y luego usarlas". [74]
Los escritores y expertos en ciberseguridad, como Ben Buchanan y Kevin Poulsen , se mostraron escépticos ante esas teorías. [12] [78] Poulsen dijo que las teorías eran "desinformación" que Rusia estaba aprovechando y difundiendo mediante bots. También escribió: "El catálogo filtrado no está organizado por país de origen, y el malware específico utilizado por los piratas informáticos rusos del DNC no está en ninguna parte de la lista". Robert M. Lee, quien fundó la empresa de ciberseguridad Dragos, dijo que la "narrativa surgió demasiado rápido para haber sido orgánica". [12]
Según un estudio de Kim Zetter en The Intercept , UMBRAGE probablemente estaba mucho más centrado en acelerar el desarrollo mediante la reutilización de herramientas existentes, en lugar de plantar banderas falsas. [75] Robert Graham, director ejecutivo de Errata Security, dijo a The Intercept que el código fuente al que se hace referencia en los documentos de UMBRAGE es "extremadamente público" y es probable que lo utilicen una multitud de grupos y actores estatales. Graham agregó: "Lo que podemos decir de manera concluyente a partir de la evidencia en los documentos es que están creando fragmentos de código para su uso en otros proyectos y están reutilizando métodos en código que encuentran en Internet. ... En otros lugares hablan de ocultar los ataques para que no se pueda ver de dónde provienen, pero no hay un plan concreto para realizar una operación de bandera falsa . No están tratando de decir 'Vamos a hacer que esto parezca Rusia'". [79]
Los documentos describen el framework Marble, un ofuscador de cadenas utilizado para ocultar fragmentos de texto en malware de la inspección visual. Algunos medios informaron que se utilizaron idiomas extranjeros para encubrir la fuente de los ataques de la CIA, pero el análisis técnico refutó la idea. [80] [81] [82] Según WikiLeaks, alcanzó la versión 1.0 en 2015 y fue utilizado por la CIA durante todo 2016. [82]
En su publicación, WikiLeaks afirmó que "Marble" se utilizó para insertar texto en un idioma extranjero en el malware para enmascarar virus, troyanos y ataques de piratas informáticos, lo que dificultaba su seguimiento hasta la CIA y hacía que los investigadores forenses atribuyeran el código a la nación equivocada. El código fuente reveló que Marble tenía ejemplos en chino, ruso, coreano, árabe y persa . [82]
Los analistas calificaron de inexacta la descripción que WikiLeaks hizo del propósito principal de Marble y le dijeron a The Hill que su propósito principal probablemente era evitar ser detectado por programas antivirus. [83]
Marble también contenía una herramienta desofuscadora con la que la CIA podía revertir la ofuscación de texto. [82] [84]
El investigador de seguridad Nicholas Weaver del Instituto Internacional de Ciencias Informáticas de Berkeley dijo al Washington Post: "Esta parece ser una de las filtraciones técnicamente más dañinas jamás realizadas por WikiLeaks, ya que parece diseñada para interrumpir directamente las operaciones en curso de la CIA". [85] [86]
HammerDrill es una herramienta de recopilación de CD/DVD que recopila recorridos de directorio y archivos en un directorio configurado y un patrón de nombre de archivo, además de registrar eventos de inserción y extracción de CD/DVD. [87]
Después de que WikiLeaks publicara la primera entrega de Vault 7, "Year Zero", Apple declaró que "muchos de los problemas filtrados hoy ya estaban parcheados en el último iOS" y que la compañía "continuará trabajando para abordar rápidamente cualquier vulnerabilidad identificada". [88]
El 23 de marzo de 2017, WikiLeaks publicó "Dark Matter", el segundo lote de documentos de su serie Vault 7, que detalla las técnicas y herramientas de piratería informática centradas en los productos de Apple desarrollados por la Rama de Desarrollo Integrado (EDB) de la CIA. La filtración también reveló que la CIA había estado apuntando al iPhone desde 2008, y que algunos proyectos atacaban el firmware de Apple. [89] El archivo "Dark Matter" incluía documentos de 2009 y 2013. Apple emitió una segunda declaración asegurando que, según un "análisis inicial, la supuesta vulnerabilidad del iPhone afectó solo al iPhone 3G y se solucionó en 2009 cuando se lanzó el iPhone 3GS". Además, una evaluación preliminar mostró que "las supuestas vulnerabilidades de Mac se habían solucionado previamente en todos los Mac lanzados después de 2013". [90] [91]
WikiLeaks dijo el 19 de marzo de 2017 en Twitter que la "CIA estaba explotando en secreto" una vulnerabilidad en una amplia gama de modelos de enrutadores Cisco descubierta gracias a los documentos de Vault 7. [92] [93] La CIA había aprendido hace más de un año cómo explotar fallas en los conmutadores de Internet ampliamente utilizados de Cisco , que dirigen el tráfico electrónico, para permitir el espionaje. Cisco reasignó rápidamente al personal de otros proyectos para que se concentraran únicamente en analizar el ataque y averiguar cómo funcionaba el hackeo de la CIA, para que pudieran ayudar a los clientes a parchar sus sistemas y evitar que los piratas informáticos o espías criminales utilizaran métodos similares. [94]
El 20 de marzo, los investigadores de Cisco confirmaron que su estudio de los documentos de Vault 7 mostraba que la CIA había desarrollado un malware que podía explotar una falla encontrada en 318 modelos de conmutadores de Cisco y alterar o tomar el control de la red. [95] Cisco emitió una advertencia sobre los riesgos de seguridad, los parches no estaban disponibles, pero Cisco proporcionó consejos de mitigación. [93]
Según se informa, las herramientas electrónicas pueden comprometer tanto el sistema operativo iOS de Apple como el Android de Google . Al agregar malware al sistema operativo Android, las herramientas podrían obtener acceso a comunicaciones seguras realizadas en un dispositivo. [96]
Según WikiLeaks, una vez que un teléfono inteligente Android es penetrado, la agencia puede recopilar "tráfico de audio y mensajes antes de aplicar el cifrado". [1] Se informa que parte del software de la agencia puede obtener acceso a los mensajes enviados por servicios de mensajería instantánea. [1] Este método de acceso a los mensajes difiere de obtener acceso descifrando un mensaje ya cifrado. [96] Si bien no se informó de que se haya descifrado el cifrado de los mensajeros que ofrecen cifrado de extremo a extremo , como Telegram , WhatsApp y Signal , su cifrado se puede eludir capturando la entrada antes de que se aplique su cifrado, mediante métodos como el registro de teclas y el registro de la entrada táctil del usuario. [96]
Los comentaristas, entre ellos Snowden y el criptógrafo y experto en seguridad Bruce Schneier , observaron que Wikileaks insinuó incorrectamente que las propias aplicaciones de mensajería y su cifrado subyacente habían sido comprometidos, una insinuación que a su vez fue informada durante un período por el New York Times y otros medios de comunicación tradicionales . [1] [97]
Un documento supuestamente mostraba que la CIA estaba investigando formas de infectar los sistemas de control de vehículos. WikiLeaks afirmó: "El propósito de dicho control no está especificado, pero permitiría a la CIA participar en asesinatos casi indetectables". [68] Esta declaración atrajo renovada atención a las teorías conspirativas en torno a la muerte de Michael Hastings . [98]
Los documentos hacen referencia a un exploit de " inyección de DLL de Windows FAX " en los sistemas operativos Windows XP , Windows Vista y Windows 7. [19] Esto permitiría a un usuario con intenciones maliciosas ocultar malware bajo [ aclaración necesaria ] la DLL de otra aplicación. Sin embargo, un equipo ya debe haber sido comprometido a través de otro método para que se produzca la inyección. [99] [ se necesita una mejor fuente ]
El 7 de marzo de 2017, Edward Snowden comentó sobre la importancia de la publicación, afirmando que revela que el gobierno de los Estados Unidos está "desarrollando vulnerabilidades en productos estadounidenses" y "luego manteniendo los agujeros abiertos intencionalmente", lo que consideró altamente imprudente. [100] El 7 de marzo de 2017, Nathan White, gerente legislativo sénior del grupo de defensa de Internet Access Now , escribió: [101]
Hoy, nuestra seguridad digital se ha visto comprometida porque la CIA ha estado acumulando vulnerabilidades en lugar de trabajar con empresas para repararlas. Se supone que Estados Unidos tiene un proceso que ayuda a proteger nuestros dispositivos y servicios digitales: el " Proceso de Equidad en las Vulnerabilidades ". Muchas de estas vulnerabilidades podrían haberse revelado y reparado de manera responsable. Esta filtración demuestra el riesgo digital inherente de acumular vulnerabilidades en lugar de repararlas.
El 8 de marzo de 2017, Lee Mathews, colaborador de Forbes , escribió que la mayoría de las técnicas de piratería descritas en Vault 7 ya eran conocidas por muchos expertos en ciberseguridad. [102] El 8 de marzo de 2017, algunos señalaron que las técnicas y herramientas reveladas probablemente se utilizarán para una vigilancia más específica [103] [104] revelada por Edward Snowden. [105]
El 8 de abril de 2017, Ashley Gorski, abogada de la Unión Estadounidense por las Libertades Civiles, dijo que era "fundamental" entender que "estas vulnerabilidades pueden ser explotadas no solo por nuestro gobierno, sino por gobiernos extranjeros y cibercriminales de todo el mundo". Justin Cappos , profesor del Departamento de Ciencias Informáticas e Ingeniería de la Universidad de Nueva York, pregunta "si el gobierno sabe de un problema en su teléfono que los malos podrían usar para hackear su teléfono y tener la capacidad de espiarlo, ¿es esa una debilidad que ellos mismos deberían usar para contraterrorismo, o para sus propias capacidades de espionaje, o es un problema que deberían solucionar para todos?" [106]
El 8 de abril de 2017, Cindy Cohn , directora ejecutiva del grupo internacional sin fines de lucro de derechos digitales Electronic Frontier Foundation , con sede en San Francisco , dijo: "Si la CIA pasara por su puerta principal y viera que su cerradura estaba rota, al menos deberían decírselo y tal vez incluso ayudarlo a arreglarla". "Y peor aún, luego perdieron el rastro de la información que le habían ocultado, de modo que ahora los criminales y los gobiernos extranjeros hostiles saben que su cerradura está rota". [107] Además, afirmó que la CIA "no había evaluado con precisión el riesgo de no revelar las vulnerabilidades. Incluso las agencias de espionaje como la CIA tienen la responsabilidad de proteger la seguridad y la privacidad de los estadounidenses". [108] "La libertad de tener una conversación privada, libre de la preocupación de que un gobierno hostil, un agente gubernamental deshonesto o un competidor o un criminal estén escuchando, es fundamental para una sociedad libre". La Cuarta Enmienda de la Constitución de los Estados Unidos garantiza la libertad de registros e incautaciones irrazonables. [109]
El 12 de mayo de 2017, el presidente de Microsoft, Brad Smith, escribió que tanto la NSA como la CIA habían acumulado vulnerabilidades, que les habían robado y publicado en Wikileaks, lo que dio lugar a violaciones de seguridad para los clientes de Microsoft. Smith solicitó, por segunda vez, una "Convención de Ginebra digital" que obligaría a los gobiernos a informar sobre las vulnerabilidades a los proveedores. [45] [110]
{{cite news}}: Parámetro desconocido |link-status=ignorado ( ayuda )