"Bezpieczne smartfony" zawiodły: setki dilerów w rękach policji

Nie smartfony, a cyberfortece. Pozbawione modułu GPS i złączy wyjścia, a czasem też mikrofonu i wyposażone w silnie szyfrowany komunikator. Takim sprzętem posługują się dzisiaj przestępcy. Ale to, jak pokazuje niniejszy przypadek, wcale nie musi gwarantować im anonimowości.

W okresie od kwietnia do czerwca 2020 roku służby w Europie Zachodniej zatrzymały ponad 700 osób związanych z handlem narkotykami. Przestępcy wpadli przez... smartfony.

O tzw. smartfonach dla gangsterów pisaliśmy już na dobrychprogramach kilkukrotnie. Choćby w październiku 2019 r., gdy stały się bezpośrednią przyczyną zabójstwa blogera śledczego Martina Koka. W skrócie: są to na ogół regularne modele smartfonów dostępne na rynku, tyle że istotnie zmodyfikowane. Dostawcy wypruwają z nich wszystkie potencjalnie wrażliwe elementy, a więc m.in. GPS czy kamerę, ograniczając łączność do szyfrowanego komunikatora.

Jednym z takich urządzeń, gwarantem bezpieczeństwa, miał być EncroChat. Ponoć sprzedano ich ponad 60 tys., a to niemałe osiągnięcie, mając na uwadze cenę zakupu równą 5,5 tys. zł i dodatkowy 1 tys. zł miesięcznie za abonament. Co najmniej 700 właścicieli tego cacka wpadło właśnie w ręce policji. I nie ma tu mowy o jakimkolwiek zbiegu okoliczności.

Jak zauważa Zaufana Trzecia Strona, producent EncroChat chwalił się bogatą listą pro–prywatnościowych rozwiązań, oferując m.in.:

• gwarancję anonimowości (brak powiązania karty SIM z użytkownikiem),
• dostosowaną wersję Androida z pełnym szyfrowaniem dysku,
• podwójny system operacyjny (oprócz szyfrowanego, można było odpalić „normalnego” Androida),
• komunikator z szyfrowaniem E2E i rotacją kluczy,
• regularne aktualizacje oprogramowania,
• usunięte kamera, mikrofon, GPS i port USB,
• dostęp do sieci GSM w ponad 120 krajach,
• certyfikacja FIPS 140-2 i zabezpieczenie szyfrowanej partycji parą kluczy RSA oraz hasłem użytkownika,
• samousuwające się wiadomości,
• zdalne kasowanie zawartości telefonu,
• usunięte łączenie po ADB i recovery mode,
• całodobowe wsparcie użytkownika.

Nie wziął jednak pod uwagę, że służby zechcą zaatakować nie klientów, lecz samą infrastrukturę. Na wspólnej konferencji prasowej holenderskie i francuskie służby ujawniły, że już w marcu br. udało im się zlokalizować serwery EncroChata we Francji, a także dostawcę kart SIM, holenderską firmę KPN. Tak oto w ręce policjantów trafiło 100 mln wiadomości wysyłanych przez przestępców, co z kolei pociągnęło za sobą falę aresztowań.

Mówiąc nieco kolokwialnie, policja odkryła kopalnię diamentów. Ewidencja dostaw narkotyków, adresy kryjówek, sposoby prania pieniędzy ze sprzedaży, planowane inwestycje, a nawet zlecenia zabójstwa. Wszystko zapisane czystym tekstem i wysyłane w czasie rzeczywistym do śledczych, którzy zatrzymali ponad 700 osób na terenie Wielkiej Brytanii, Norwegii, Szwecji, Francji i Holandii. Jak czytamy w relacji, w samej Holandii zarekwirowano 8 ton kokainy, 1,2 tony metaamfetaminy i 20 mln euro w gotówce oraz zlikwidowano 19 laboratoriów produkujących syntetyczne narkotyki. Dodatkowe 2 tony narkotyków i 54 mln funtów wpadły w ręce Brytyjczyków.

Śledczy przejęli jeden z serwerów i umieścili tam zmodyfikowaną wersję oprogramowania dla EncroChata, zawierającą rootkita. Narzędzie gromadziło wiadomości zanim te zostały zaszyfrowane, a ponadto paraliżowało pracę smartfonu, blokując na przykład funkcję zdalnego kasowania zawartości pamięci i zmieniając kod PIN.

Według policyjnego raportu, producent co najmniej od maja wiedział o trwającym ataku i starał się mu przeciwdziałać, ale bezskutecznie. Najpierw prosił operatora kart SIM o zablokowanie ruchu do określonych serwerów, ale, nie wiedzieć czemu, ten realizował polecenie tylko przez krótką chwilę. W końcu zarządził blokadę usługi, sugerując przy tym pozbycie się urządzeń, jednak na zacieranie śladów było już za późno. Policja zdobyła bowiem niezbędne dowody.

Techniczne szczegóły akcji nie są do końca jasne. Nie wiemy chociażby tego, jak dokładnie rootkit trafił na EncroChaty i czy były one jakkolwiek zabezpieczone na wypadek takiej sytuacji. Bo włamanie na serwer to jedno, drugie – sfałszowanie cyfrowego podpisu oprogramowania (o ile był konieczny). Fakt jest jednak taki, że bezpieczne telefony nie tylko zawiodły, ale w tym przypadku wręcz zadziałały niczym flara sygnałowa, wskazując śledczym, kim warto się bardziej zainteresować.