Empleados de AT&T aceptaron sobornos para plantar malware en la red de la compañía

Empleados de AT&T aceptaron sobornos para desbloquear millones de teléfonos inteligentes e instalar malware y hardware no autorizado en la red de la compañía, dijo ayer el Departamento de Justicia.

Estos detalles provienen de un caso del Departamento de Justicia abierto contra Muhammad Fahd, un hombre de 34 años de Pakistán, y su co-conspirador, Ghulam Jiwani, que se cree que ha fallecido.

El Departamento de Justicia acusó a los dos de pagar más de $ 1 millón en sobornos a varios empleados de AT&T en el centro de atención al cliente de Mobility Customer Care en Bothell, Washington.

El esquema de soborno duró al menos desde abril de 2012 hasta septiembre de 2017. Inicialmente, los dos hombres paquistaníes sobornaron a los empleados de AT&T para desbloquear iPhones costosos para que pudieran ser utilizados fuera de la red de AT&T.

Los dos reclutaron empleados de AT&T acercándose a ellos en privado por teléfono o mensajes de Facebook. Los empleados que aceptaron, recibieron listas de códigos telefónicos IMEI que tuvieron que desbloquear por sumas de dinero.

Luego, los empleados recibirían sobornos en sus cuentas bancarias, en compañías fantasmas que crearon, o en efectivo, de los dos hombres pakistaníes.

Esta etapa inicial del plan duró aproximadamente un año, hasta abril de 2013, cuando varios empleados se fueron o fueron despedidos por AT&T.
 
La etapa de malware

Fue entonces cuando Fahd cambió de táctica y sobornó a los empleados de AT&T para instalar malware en la red de AT&T en el centro de llamadas de Bothell. Entre abril y octubre de 2013, este malware inicial recopiló datos sobre cómo funcionaba la infraestructura de AT&T.

Según documentos judiciales revelados ayer, este malware parece ser un keylogger, con la capacidad de "recopilar información confidencial y patentada sobre la estructura y el funcionamiento de las computadoras y aplicaciones protegidas internas de AT&T".

El Departamento de Justicia dijo que Fahd y su conspirador crearon una segunda variedad de malware que aprovechó la información adquirida a través de la primera. Este segundo malware utilizó las credenciales de los empleados de AT&T para realizar acciones automatizadas en la aplicación interna de AT&T para desbloquear el teléfono a instancias de Fahd, sin necesidad de interactuar con los empleados de AT&T en todo momento.

En noviembre de 2014, cuando Fahd comenzó a tener problemas para controlar este malware, el Departamento de Justicia dijo que también sobornó a los empleados de AT&T para instalar puntos de acceso inalámbricos falsos dentro del centro de llamadas Bothell de AT&T. Estos dispositivos ayudaron a Fahd a obtener acceso a las aplicaciones internas y a la red de AT&T, y continuar con el esquema de desbloqueo de teléfonos corruptos.
Un empleado de AT&T ganó $ 428,500

El Departamento de Justicia afirma que Fahd y Jiwani pagaron más de $ 1 millón en sobornos a los empleados de AT&T y desbloquearon con éxito más de dos millones de dispositivos, la mayoría de los cuales eran iPhones caros. Un empleado de AT&T recibió más de $ 428,500 en sobornos durante un período de cinco años, dijeron los investigadores.

El Departamento de Justicia dijo que las dos operaron tres compañías llamadas Endless Trading FZE, Endless Connections Inc. e iDevelopment. Estas compañías eran un negocio principal para SwiftUnlocks, un sitio web que permitía a los usuarios desbloquear iPhones desde su red de operadores.

En 2015, AT&T demandó a tres empleados por instalar malware en la red de la compañía después de que la empresa de telecomunicaciones de EE. UU. Comenzó a investigar actividades en su centro de atención telefónica de Bethell luego de un número inusual de operaciones de desbloqueo de teléfonos que descubrió en octubre de 2013, cuando supuestamente se implementó la segunda cepa de malware. El Departamento de Justicia intervino después de que AT&T presentó su demanda y abrió una investigación oficial.

Fahd fue arrestado en Hong Kong en febrero de 2018 y extraditado a los Estados Unidos el 2 de agosto de la semana pasada. Ahora enfrenta una letanía de cargos que pueden enviarlo tras las rejas por hasta 20 años.

AT&T estimó que perdió ingresos de más de $ 5 millones / año por el esquema de desbloqueo de teléfonos de Fahd.

"Hemos estado trabajando estrechamente con la policía desde que se descubrió este esquema para llevar a estos criminales ante la justicia y estamos satisfechos con estos desarrollos", dijo un portavoz de AT&T a ZDNet. La compañía dijo que este incidente no implicó el acceso a los datos personales de los clientes.

Actualizado poco después de la publicación, a las 10:50 am ET, con comentarios de AT&T.

Actualizado el 8 de agosto a las 03:00 a.m. ET, con información de AT&T sobre la demanda de 2015.

Fuente:  https://www.zdnet.com/article/at-t-employees-took-bribes-to-plant-malware-on-the-companys-network/

Karma Cyberweapon (iPhone)

Según la agencia Reuters un grupo de personal entrenadas por el gobierno de los estados unidos ingresaron ilegalmente a los teléfonos iPhone de activistas, diplomáticos y líderes. La agencia confirma que la herramienta utilizada con esta finalidad es llamada karma, el nombre de la operación fue conocido como proyecto Raven y fue activo entre 2016 y 2017, teniendo como principal objetivo activistas en Yemen.

Según el informe la herramienta garantiza acceso remoto a los dispositivos únicamente ingresando el correo de la víctima o su número de teléfono. Lori Stroud quien al parecer se dedica principalmente al Data Science y es PhD candidate, dice que este exploit parecía época de navidad. 

Sin embargo, es difícil creer que una herramienta con tan solo el número de teléfono de la víctima llegue a obtener acceso al dispositivo, genera muchas sospechas ya que esto limitaría el ataque, los teléfonos móviles utilizan APN para su conexión a internet lo que hace muy difícil realizar una conexión externa hacia el equipo. Esto nos deja como métodos de ataque solo conexiones reversas, es decir, que el equipo sea quien se conecte al atacante.

El articulo enuncia que no era necesaria la interacción del usuario para el despliegue del malware por tanto esto nos deja tres posibilidades, 

• OTA (Over The Air)
• Exploit lanzado desde la red interna desde los operadores. 
• Apple ha sido comprometida.

OTA es un método de despliegue sobre todo usado para actualización de sistema operativo, igualmente en muchos de los casos necesita interacción del usuario y adicionalmente la aplicación instalada debe estar aprobada por Apple.

Exploit desde el operador, resulta improbable haber comprometido todos los operadores móviles

¿Apple ha sido comprometida? Esta tal vez es la opción más viable para la existencia de un exploit de ese tipo.

Deja tus comentarios, si piensas que puede haber otros vectores de ataque, también comenta por favor.


Fuente: https://www.reuters.com/article/us-usa-spying-karma-exclusive/exclusive-uae-used-cyber-super-weapon-to-spy-on-iphones-of-foes-idUSKCN1PO1AN