WikiLeaks onthult ‘Dark Matter’ CIA-hacks, gericht op Mac en iPhone

WikiLeaks heeft vandaag Vault 7 ‘Dark Matter’ vrijgeven, een collectie documenten over Mac- en iPhone-hacks die door de CIA zijn ontwikkeld. Ze zijn erop gericht om Mac-firmware te infecteren en blijven zelfs actief als je het besturingssysteem opnieuw hebt geïnstalleerd. Het ‘Dark Matter’-lek bestaat uit 5 documenten, die beschrijven hoe deze tools werken. Ze zijn ontwikkeld door de Embedded Development Branch (EDB) van de CIA en richten zich specifiek op Macs en iPhones.

Update 24 maart: Volgens Apple zijn recente Macs (vanaf 2013) niet vatbaar voor de Sonic Screwdriver-hack, die in de documenten wordt beschreven. Dit is een aanval met een ethernet-adapter. Er moet fysiek toegang zijn tot de Mac om de aanval te kunnen uitvoeren. De genoemde hack voor iOS schijnt volgens Apple alleen te kunnen worden gebruikt op de iPhone 3G en niet op nieuwere modellen.

Zo bevat ‘Dark Matter’ documentatie over het ‘Sonic Screwdrive’-project waarmee het mogelijk is om code uit te voeren op een aangesloten randapparaat terwijl een MacBook of Mac-desktop aan het opstarten is. Een aanvaller zou op die manier kwaadwillende software kunnen installeren via een usb-stick. Zelf maakt de CIA hiervoor gebruik van een Apple Thunderbolt-naar-Ethernet-adapter waarvan de firmware is aangepast. Andere tools zijn DarkSeaSkies, bestaande uit DarkMatter, SeaPea en NightSkies. Deze richten zich op verschillende onderdelen van macOS.

Voor de Mac heeft de CIA bovendien de Triton-malware ontwikkelt, dat zich verspreidt via infectietools met de naam Dark Mallet en DerStarke. De documentatie van DerStarke dateert uit 2013, maar uit andere documenten blijkt dat de CIA inmiddels bezig is met DerStarke2.0. Sinds begin maart de eerste informatie via WikiLeaks werd gelekt, was er al bekend dat DerStarke wordt gebruikt. Intel Security bracht vlak daarna een tool uit waarmee gebruikers kunnen checken of er geknoeid is met hun low-level systeemfirmware.

Infectie tijdens transport

Voor de iPhone heeft de CIA de tool NightSkies ontwikkeld. Deze tool staat geïnstalleerd op iPhones die nieuw uit de fabriek komen. Volgens WikiLeaks houdt dit in dat de CIA slachtoffers infecteert via de productieketen van de Apple en deze gang van zaken zou al sinds 2008 aan de gang zijn. Het hoeft overigens niet te betekenen dat de iPhone-fabrieken de malware of spyware erop zetten. Volgens Wikileaks worden postpakketten onderschept en geopend, waarbij de bestelde iPhones voorzien van malware worden doorgestuurd naar de klant (bijvoorbeeld een bedrijf dat de CIA in de gaten wil houden). Het enige wat de CIA hoeft te doen is nieuwe krimpfolie aanbrengen, zodat niet de indruk wordt gewekt dat ermee geknoeid is.

De documenten zijn op de website van WikiLeaks te downloaden.