The Shadow Brokers es un grupo de piratas informáticos que se sabe que presentó herramientas de espionaje en 2016, entre otras, del Equation Group , una unidad de piratas informáticos vinculada a la Agencia de Seguridad Nacional (NSA).
La 13 agosto 2016, The Shadow Brokers , hasta ahora desconocido, está liberando la descarga de una serie de programas de espionaje y piratería, que afirma haber robado del Equation Group , una unidad de piratas informáticos de élite que ha estado en funcionamiento durante al menos la década de 2000 en nombre de la NSA, la agencia de inteligencia estadounidense responsable de la vigilancia y el espionaje en Internet, entre otros. El colectivo publica estos datos en Tumblr , GitHub y Pastebin (tres redes sociales y foros muy populares) y da a conocer el conjunto a través de su cuenta de Twitter (@shadowbrokerss) con una serie de Tweets dirigidos a los principales periódicos y canales de televisión estadounidenses. En el mensaje que acompaña a las armas cibernéticas, el grupo dice que esto es solo una parte de los programas que posee y que "las mejores armas informáticas" se están subastando por un millón de Bitcoins , o $ 568 millones.
La 15 de agosto, La cuenta de GitHub de Shadow Brokers está cerrada. Al día siguiente, se elimina la cuenta de Tumblr. Lo mismo sucede poco después con la cuenta de Pastebin.
La 16 de agosto, la empresa rusa de seguridad informática Kaspersky Lab , que anteriormente trabajó en Equation Group , anuncia que ha comparado los archivos proporcionados por The Shadow Brokers con los programas de presuntos piratas informáticos de la NSA que posee y concluye que "comparten características precisas y raras" , cuya falsificación es “altamente improbable”.
La 19 de agosto, el sitio The Intercept , especializado en la publicación de investigaciones sobre vigilancia global por parte de Estados Unidos y las revelaciones de Edward Snowden , confirma la autenticidad de los archivos: menciones de las herramientas publicadas por The Shadow Brokers aparecen en los documentos que ex empleado de la NSA y el denunciante Edward Snowden divulgado en 2013, y del cual el sitio tiene una copia.
El 1 er octubre, la cuenta de Twitter de la sombra Brokers, que había dado ninguna señal de actividad de la13 de ago, continúa tuiteando con un enlace que conduce a un nuevo mensaje publicado en los foros de Reddit y la plataforma de blogs Medium en el que el colectivo responde preguntas, en particular sobre cómo funcionan las subastas de armas cibernéticas. Sin embargo, no se hace alusión a Harold T. Martin, empleado de un subcontratista de la NSA acusado de robar una cantidad considerable de datos, ni a las suposiciones que lo convierten en la fuente de The Shadow Brokers.
La 15 de octubre, aún a través de Twitter, el grupo anuncia un nuevo mensaje, publicado en Pastebin, Reddit y Medium, en el que informa que las subastas han terminado pero que si se alcanzaba la cantidad de 10,000 Bitcoins (es decir, $ 7 millones), haría ciber armas disponibles para descarga gratuita. El mensaje va acompañado de un diálogo de parodia entre el ex presidente de los Estados Unidos , Bill Clinton, la secretaria de Justicia de la administración Obama y la fiscal general de los Estados Unidos , Loretta Lynch , conocida como la " Conversación de aviones de Arizona entre Bill Clinton y Lorreta Lynch ". La conversación se refiere al inesperado encuentro, según los protagonistas, del esposo de la candidata demócrata a la presidencia por Estados Unidos, Hillary Clinton , y la ministra de Justicia en27 de junioen el aeropuerto de Phoenix , Arizona .
La 31 de octubre, The Shadow Brokers tuiteó la publicación de nueva información sobre la NSA en Medium y Reddit en un mensaje titulado "¿ Truco o trato?" "(Fórmula utilizada para obtener golosinas en Halloween que significa" ¿Golosinas o un hechizo? "). Después de dar un discurso sobre las elecciones presidenciales de 2016 en los Estados Unidos , el poder adquisitivo, la guerra digital y la lucha de clases , The Shadow Brokers proporcionó acceso a un archivo. El conjunto de datos publicado contiene varios cientos de nombres de dominio y direcciones IP , ubicados en todo el mundo, que supuestamente han sido pirateados por la NSA.
La 14 de diciembre, The Shadow Brokers publica bajo el alias Boceffus Cleetus un artículo en Medium titulado "¿The Shadow Brokers vende exploits de la NSA en ZeroNet?" " . Este alias, que tiene una cuenta de Twitter (@cleetusbocefus) y dice ser fascista , se vincula a un sitio de la plataforma en línea descentralizada ZeroNet y sugiere que las filtraciones de datos están vinculadas a disputas entre agencias entre la CIA y la NSA. El sitio en cuestión ofrece una lista de armas cibernéticas a la venta, con la posibilidad de comprar el paquete completo por 1,000 Bitcoins ($ 780,000). El sitio ofrece a los visitantes descargar archivos relacionados con cada servicio a la venta, este último firmado con la clave PGP correspondiente a la huella de Shadow Brokers.
La 15 de diciembre, The Shadow Brokers responde a la solicitud de entrevista que el sitio de Motherboard les había enviado desde agosto con un breve mensaje:
“Los Shadow Brokers no han sido arrestados. Los Shadow Brokers no son delincuentes irresponsables. Los Shadow Brokers son oportunistas. Los Shadow Brokers han dado a las "partes responsables" la oportunidad de hacer las cosas bien. No era el caso. No son personas responsables. Los Shadow Brokers merecían una recompensa por asumir riesgos, así que estamos pidiendo dinero. El riesgo no es gratuito. Nuestra actitud es la ofuscación , no el engaño. "
La 12 de enero de 2017, The Shadow Brokers anuncia en su sitio ZeroNet el cese de su actividad, explicando que se vuelve demasiado arriesgado y que no es lo suficientemente lucrativo mientras especifica que su oferta sigue siendo válida. Según los datos del explorador de bloques de Bitcoin, Blockchain Info, el grupo de piratas informáticos recibió poco más de 10 Bitcoins, repartidos en 72 transacciones. Sin embargo, "antes de irse", el grupo subió un archivo de 61 archivos que no contenían herramientas de piratería, sino implantes. Según el análisis del investigador de ciberseguridad Matt Suiche, el archivo es antiguo y de poco interés porque ya ha sido detectado por el antivirus de Kaspersky Lab.
La Abril 8, The Shadow Brokers, diciendo que están decepcionados con las políticas del recientemente elegido presidente de los Estados Unidos, Donald Trump (en particular, el ataque estadounidense contra Siria después de la masacre de Khan Sheikhoun del 4 de abril de 2017 ), reaparecen publicando una publicación de blog en Medium en el que aclaran notablemente su posición con respecto a Rusia, diciendo que no sienten ninguna simpatía especial por el presidente Vladimir Putin, pero que el nacionalismo del líder ruso les parece una ventaja contra el socialismo y el globalismo , que `` consideran como su enemigos. Su foro finaliza con un acceso a un archivo que contiene, entre otras cosas, una lista de 900 servidores pertenecientes a empresas y universidades, que la NSA habría pirateado para usar como señuelo cuando lanzan ciberataques, así como documentos que indican que El servicio de mensajería CaraMail fue secuestrado por la agencia estadounidense en 2001. Según el investigador de ciberseguridad Matthew Hickey de la empresa My Hacker House, estas revelaciones dan fe del alto nivel de compromiso de los servidores Solaris por parte de la NSA.
La 14 de abril, el grupo de hackers presenta un nuevo conjunto de herramientas robadas a la NSA. La primera parte del archivo contiene herramientas dedicadas a espiar la red interbancaria SWIFT . Esta revelación llega pocos meses después del ciberataque del banco central de Bangladesh a través de la red SWIFT, llevado a cabo por el grupo de hackers norcoreanos Lazarus según investigadores de ciberseguridad de Symantec . La segunda parte del archivo contiene exploits relacionados con Windows y Windows Server. El mismo día, Microsoft declara haber corregido las fallas utilizadas por estos exploits, para algunas durante varios años y para otras más recientemente, como la falla EternalBlue , parcheada un mes antes de la revelación del archivo.
El origen, las vagas motivaciones y el contexto particular en el que The Shadow Brokers hizo sus revelaciones ( pirateo del Partido Demócrata durante las elecciones presidenciales y publicaciones de WikiLeaks sobre los servicios secretos) tienden a mostrar que el grupo alberga un poder de desestabilización mayor, como lo demuestran las crisis vinculadas a los NotPetya y WannaCry ataques cibernéticos .
El nombre del colectivo es una referencia a un personaje de la serie de videojuegos Mass Effect . Es, en este universo de ciencia ficción, un ser extraterrestre al frente de una vasta organización que negocia información, vendiendo siempre al mejor postor. A principios de 2017, la identidad del pirata informático o de los miembros del grupo de piratas informáticos aún se desconoce, incluso si circulan hipótesis. Así, el denunciante y ex empleado de la NSA Edward Snowden defiende y explica en una serie de tuits la hipótesis de que Rusia está detrás de The Shadow Brokers.
Al testificar de forma anónima en el sitio de Motherboard, los ex agentes de la NSA dijeron que creían que la hipótesis más probable sería "un tipo, uno interno" porque sería mucho más fácil para un empleado robar estos datos (a la manera de Snowden en 2013 ) que para que lo obtenga una persona externa, principalmente porque algunos archivos contenidos en la primera publicación de The Shadow Brokers “eran accesibles solo desde adentro” , porque estaban almacenados en una máquina físicamente aislada de la red (medida de seguridad conocida como espacio de aire ). Refutan al "99,9%" la idea de que Rusia está detrás de esta violación de datos.
El inglés tosco con la gramática a menudo errónea que caracteriza las publicaciones de The Shadow Brokers ha despertado el interés del director del programa de maestría en ciencia de datos del Instituto de Tecnología de Illinois , Shlomo Argamon, quien, según sus análisis lingüísticos, concluyó que el autor de estos mensajes (asumiendo que solo hay uno) probablemente sería un angloparlante que busca hacerse pasar por alguien que no tiene el inglés como idioma en el jardín de infancia, lógicamente para tratar de cubrir sus huellas llamando la atención de los investigadores hacia Rusia.
La 5 de octubre, el Departamento de Justicia de Estados Unidos anuncia el arresto de Harold Thomas Martin III (en) , sospechoso de haber robado datos clasificados como "ultrasecretos" mientras trabajaba para un subcontratista de la NSA, Booz Allen Hamilton . Varios expertos plantean la hipótesis de un vínculo entre Harold Martin y The Shadow Brokers.
La 20 de octubre, los fiscales a cargo del caso explican en un documento oficial que es el equivalente a 50 terabytes de datos y miles de páginas de documentos, algunos de los cuales marcados como "Secreto" o "Top Secret", los cuales fueron incautados en el domicilio por Harold T. Martin.
La 15 de diciembre, el grupo respondió a la solicitud del sitio de Motherboard de una entrevista con un breve mensaje negando las acusaciones de que Hal Martin era la fuente de los piratas informáticos.
El análisis de los archivos descargables relacionados con cada servicio a la venta en el sitio ZeroNet de The Shadow Brokers por parte de los investigadores de ciberseguridad de la empresa Flashpoint los llevó a la conclusión de que seguramente provenían de un almacén de datos interno de la NSA y que probablemente era un empleado o un subcontratista que tuvo acceso a él. Además, refutan la hipótesis de que The Shadow Brokers secuestró uno de los servidores de la NSA, argumentando que no tendría sentido que la agencia estadounidense dejara su arsenal en un dispositivo vulnerable.
Un exploit es una vulnerabilidad que permite a un atacante poner en peligro un sistema informático, extraer datos o implementar un implante / herramienta. Por otro lado, un implante se refiere a software malicioso que se instala en un dispositivo comprometido. Finalmente, una herramienta representa un software que puede implementar múltiples implantes y exploits.
Las herramientas publicadas por The Shadow Brokers contienen conjuntos de implantes, exploits y herramientas para piratear firewalls , incluidos los de los proveedores Cisco Systems y Fortinet . Este último rápidamente puso a disposición parches después de anunciar que los archivos publicados contenían vulnerabilidades de día cero , es decir, fallas nunca antes descubiertas. En total, los primeros archivos cargados por The Shadow Brokers, y el más reciente de los cuales data de 2013, contienen quince códigos de explotación .
La herramienta SECONDDATE, que ya apareció en las revelaciones de Edward Snowden de 2013, está diseñada para interceptar solicitudes web y luego redirigirlas a un servidor web de la NSA, que a su vez infectará estas computadoras. Esta herramienta habría infectado millones de computadoras en todo el mundo, según The Intercept. Basado en los documentos aún no publicados proporcionados por Edward Snowden, The Intercept pudo confirmar la autenticidad de los archivos de The Shadow Brokers. El diario menciona una serie de caracteres que sirven como identificador para el SEGUNDO DÍA de un manual de implementación de malware.
El exploit EGREGIOUSBLUNDER hace uso de una vulnerabilidad de "ejecución remota de código" en los firewalls Fortigate de Fortinet, a través de un desbordamiento de búfer en las cookies HTTP.
El exploit ESCALATEPLOWMAN es un script en el lenguaje de programación Python , diseñado para realizar inyecciones de comandos en sistemas vendidos por RapidStream, una empresa adquirida por la empresa de ciberseguridad WatchGuard en 2002. Este exploit permite a un atacante recuperar y destruir un archivo ejecutado desde Internet. El editor WatchGuard aclaró que solo los equipos RapidStream, de sus especificidades, son vulnerables a este ataque.
El primero de los tres archivos publicados contiene solo un mensaje relacionado con la supuesta corrupción de las elecciones estadounidenses de 2016. El segundo, "trickortreat.tar.xz.gpg", es un archivo cifrado de GNU Privacy Guard abierto con la clave "payus" proporcionada por The Shadow Brokers. Este último consta de dos archivos denominados PITCHIMPAIR e INTONATION.
Las subcarpetas, analizadas por dos especialistas en ciberseguridad , Jennifer Arcuri y Matthew Hickey, están identificadas cada una por un nombre de dominio y una dirección IP para un total de 352 direcciones IP separadas 306 nombres de dominio que The Shadow Brokers dijo que habrían sido pirateados por Equation Group y luego se utiliza para lanzar ataques cibernéticos contra objetivos reales de la NSA.
Según las fechas de los archivos, los servidores se apuntaron entre los 22 de agosto de 2000 y el 18 de agosto de 2010. Los ataques se llevaron a cabo en 49 países, los más selectivos de los cuales se encuentran en Asia-Pacífico . En las direcciones de destino hay nueve dominios .gov y treinta y dos dominios .edu.
En Francia, varios dominios de la lista pertenecen al operador Colt . Otros tres están vinculados a la red de la Universidad de Ginebra . Contactada por el periódico online Switzerland Watson, la empresa Switch, que gestiona la red entre las escuelas secundarias y universidades suizas (incluida la de Ginebra), confirmó la información. Precisa haber observado que tres servidores de la Universidad de Ginebra se vieron afectados entre 2001 y 2003 pero que dos no están activos desde 2009 y que el tercero no es accesible desde el exterior.
La publicación también contiene otros datos, incluidas las configuraciones de un conjunto de herramientas que se utilizó para piratear servidores que ejecutan sistemas operativos Unix . Varios de estos servidores comprometidos ejecutaban Linux , FreeBSD y Solaris , un sistema operativo popular en la década de 2000.
Por primera vez desde las revelaciones de Edward Snowden en 2013, se dan a conocer ejemplos concretos de la amplitud de la vigilancia global operada por la NSA, que brindan una idea de cómo se ven los complejos sistemas descritos en los documentos de Snowden cuando `` se implementan en el mundo real ''.
La alineación pública del exploit EternalBlue de The Shadow Brokers es la fuente de dos grandes ataques cibernéticos, incluido el rescate de piratería más alto de la historia de Internet , WannaCry y NotPetya .