间谍软件日志暴露了埃塞俄比亚一场国家级监控阴谋？-安全小百科

间谍软件日志暴露了埃塞俄比亚一场国家级监控阴谋？

据外媒 11 月 6 日报道，埃塞俄比亚政府近日被发现购买了以色列 Cyberbit 公司的间谍软件用于监视居住在国内外持不同政见的人群。但因政府执行人员在配置 C&C 服务器时出现严重问题导致一份间谍软件的日志文件泄露，从而暴露了埃塞俄比亚政府的监视活动及所有监控目标。

调查显示，这个秘密监视行动似乎从去年开始，由包含各种网站链接的鱼叉式网络钓鱼邮件组成。在 2016 年和 2017 年，加拿大、美国、德国、挪威、英国和其他许多国家的人们陆续收到可疑邮件，而这并非普通的垃圾邮件，这些邮件主要通过恶意链接引诱用户下载一个虚假的 Adobe Flash Player 更新或者一个名为 Adobe PdfWriter 的应用程序查看视频或 PDF 文件。如果点击，那么他们的互联网连接就会被劫持并偷偷地重定向至目标服务器，这些服务器装有 Cyberbit 公司设计的监控软件，而购买了 Cyberbit 公司监控软件的机构能够监视目标在设备上的一举一动，还可以远程激活摄像头和麦克风。

这些攻击中使用的恶意软件是一个名为 PC Surveillance System ( PSS ) 的 Windows 程序，由 Cyberbit 出售，并且 Cyberbit 有意将 PSS 作为合法的监控软件销售给全球的情报与执法机构。据悉，Cyberbit 是 Elbit Systems 的子公司，目前还有其他三家“安全”公司加入了 Elbit Systems，分别是 HackingTeam（产品：RCS – 远程控制系统），Gamma 集团（产品：FinSpy）和 NSO 集团（多个产品），这些公司的产品都是作为专制政权的首选网络工具。

然而当地政府在发起鱼叉式钓鱼活动中犯了严重错误，一些收件人把可疑邮件转发给了加拿大公民实验室（ Citizen Lab）。而在此次事件中，埃塞俄比亚政府特工犯的最大错误在于对参与调查的 Citizen Lab 研究人员产生矛盾和进行攻击，这使得 Citizen Lab 团队对这些攻击更感兴趣，由此深入调查最终发现，假冒 Flash Player 和 PdfWriter 应用程序的恶意软件正在与一个在线暴露了 web 文件夹的 C&C 服务器进行通信。

在这些网络文件夹中，Citizen Lab 团队发现了他们需要了解的一切，包括含有攻击者 IP 地址的日志，以及埃塞俄比亚政府试图感染和监视的详细目标。值得注意的是，通过分析网络间谍活动的指挥和控制服务器，Citizen Lab 团队还监控到 Cyberbit 员工在感染笔记本电脑的情况下访问这些服务器，显然是向潜在客户展示 Cyberbit 的产品。据统计，Cyberbit 的这些客户包括泰国皇家军队、乌兹别克斯坦国家安全局、赞比亚金融情报中心和菲律宾总统马拉坎南宫。

Citizen Lab 团队发现，埃塞俄比亚政府使用的监控软件不仅影响了当地用户，还感染了许多生活在埃塞俄比亚的侨民。对此 Citizen Lab 团队发布紧急通知提醒包括记者、活动人士和参与最近在埃塞俄比亚奥罗米亚地区发生的抗议活动的持有不同政见的人群，以及来自邻国厄立特里亚的政府官员提高警惕。

当然，这些公司坚持他们出售给政府的间谍软件是专门用来打击和调查犯罪人群的。但问题是，通常情况下记者、学者或非政府组织试图揭露某些政府行为时，很容易会被贴上罪犯或恐怖分子的标签。且据研究表明，即使这些人群居住在国外，也很容易受到国家监视。据 Citizen Lab 研究人员称，这并非埃塞俄比亚政府第一次购买监控软件，埃塞俄比亚国家官员是 HackingTeam 和 Gamma 集团的忠实客户，在过去几年都部署了他们的产品。此外，在 Citizen Lab 调查人员的接触下，Cyberbit 管理层试图推脱了所有责任，并对外声称他们只是一个供应商，只向政府机关和执法机构提供 PSS，负责确保他们合法授权使用产品，并不实际操作任何产品。

研究人员表示，商业间谍软件行业已成为当今最危险的网络安全问题之一，也正是因为有像 Cyberbit 这样对客户实际行为视而不见、纵容间谍软件滥用导致严重后果的“安全公司”。想要解决这个问题的话需要司法机构、以及政府、民间社会和私营部门的共同努力。如果国际社会不迅速采取行动，那么将会有越来越多的记者、维权人士、律师甚至连一些国家本身的权利都不能受到保障。