Il Dipartimento di Giustizia statunitense punisce 3 ex funzionari NSA che lavorano per un’azienda degli Emirati Arabi Uniti

Il Dipartimento di Giustizia ha annunciato un controverso accordo con tre ex agenti dell'intelligence statunitense che consente loro di pagare una multa dopo aver infranto più leggi attraverso il loro attacco offensivo per il governo repressivo degli Emirati Arabi Uniti.

Il Dipartimento di Giustizia ha affermato che il 49enne Marc Baier, il 34enne Ryan Adams e il 40enne Daniel Gericke "hanno stipulato un accordo di procure differito" che consente loro di evitare pene detentive in cambio del pagamento di $ 1.685.000 "per risolvere un Indagine del Dipartimento di Giustizia sulle violazioni delle leggi statunitensi sul controllo delle esportazioni, sulle frodi informatiche e sulle frodi dei dispositivi di accesso".

I tre facevano parte del Progetto Raven, uno sforzo degli Emirati Arabi Uniti per spiare attivisti per i diritti umani, politici e dissidenti contrari al governo. I tre hanno persino hackerato società statunitensi, creando due exploit che sono stati utilizzati per violare gli smartphone.

Sia Reuters che The Intercept hanno condotto un'indagine approfondita sul lavoro di Project Raven e di una società di sicurezza informatica degli Emirati Arabi Uniti denominata DarkMatter dopo che i membri del team hanno sollevato preoccupazioni sul tipo di hacking che gli era stato chiesto dai funzionari degli Emirati Arabi Uniti.

Nonostante le accuse elencate nel deposito del tribunale , il Dipartimento di Giustizia ha affermato che Baier, Adams e Gericke – tutti ex dipendenti della NSA o membri delle forze armate statunitensi – hanno raggiunto un accordo il 7 settembre per pagare le multe oltre ad altre restrizioni sul loro lavoro.

Baier sarà costretto a pagare $ 750.000, Adams pagherà $ 600.000 e Gericke pagherà $ 335.000 per un periodo di tre anni. Tutti e tre saranno anche costretti a collaborare con l'FBI e il Dipartimento di Giustizia su altre indagini e a rinunciare a qualsiasi nulla osta di sicurezza straniero o statunitense.

Sono inoltre permanentemente banditi dall'avere futuri nulla osta di sicurezza degli Stati Uniti e non potranno svolgere alcun lavoro che implichi lo sfruttamento della rete di computer, lavorare per determinate organizzazioni degli Emirati Arabi Uniti, esportare articoli per la difesa o fornire servizi di difesa.

Il Dipartimento di Giustizia ha affermato che i tre sono stati dirigenti senior di una società degli Emirati Arabi Uniti dal 2016 al 2019 e hanno continuato a hackerare per gli Emirati Arabi Uniti nonostante gli fosse stato detto che stavano violando le regole secondo cui le persone hanno bisogno di una licenza dalla Direzione dei controlli commerciali della difesa del Dipartimento di Stato per svolgere tale lavoro.

"Questi servizi includevano la fornitura di supporto, direzione e supervisione nella creazione di sofisticati sistemi di hacking 'zero-click' e di raccolta di informazioni, ovvero uno che potesse compromettere un dispositivo senza alcuna azione da parte dell'obiettivo", ha spiegato il Dipartimento di Giustizia. in una dichiarazione.

"I dipendenti degli Emirati Arabi Uniti le cui attività sono state supervisionate e note agli imputati in seguito hanno sfruttato questi exploit zero-click per ottenere e utilizzare illegalmente credenziali di accesso per account online emesse da società statunitensi e per ottenere l'accesso non autorizzato a computer, come i telefoni cellulari, in tutto il mondo. mondo, compresi gli Stati Uniti".

Il vice procuratore generale Mark Lesko per la divisione di sicurezza nazionale del Dipartimento di giustizia ha affermato che l'accordo è una "risoluzione unica nel suo genere" di un'indagine su due tipi distinti di attività criminali: fornire servizi di difesa senza licenza controllati dall'esportazione a supporto di computer sfruttamento della rete e una società commerciale che crea, supporta e opera sistemi specificamente progettati per consentire ad altri di accedere ai dati senza autorizzazione da computer in tutto il mondo, inclusi gli Stati Uniti.

"Gli hacker su commissione e coloro che altrimenti sostengono tali attività in violazione della legge statunitense dovrebbero aspettarsi pienamente di essere perseguiti per la loro condotta criminale", ha affermato Lesko.

Il procuratore ad interim degli Stati Uniti Channing Phillips ha osservato che la proliferazione di capacità informatiche offensive mina la privacy e la sicurezza in tutto il mondo quando non viene regolamentata.

Phillips ha affermato che il governo degli Stati Uniti stava cercando di garantire che i cittadini statunitensi fornissero solo servizi di difesa "a sostegno di tali capacità in base a licenze e supervisione adeguate". Nonostante la mancanza di pene detentive, Phillips ha affermato che l'accordo con i tre hacker è la prova che lo "status di una persona come ex dipendente del governo degli Stati Uniti certamente non fornisce loro un lasciapassare gratuito in tal senso".

Altri funzionari del governo hanno ribadito quel messaggio, avvertendo altri ex hacker del governo degli Stati Uniti di evitare di usare le proprie capacità a beneficio dei governi stranieri.

I tre hanno ignorato gli ordini del governo degli Stati Uniti di rispettare le leggi sul controllo delle esportazioni degli Stati Uniti, ottenere la previa approvazione da un'agenzia governativa degli Stati Uniti prima di rilasciare informazioni riguardanti "analisi crittografiche e/o sfruttamento o attacco di reti informatiche" e non "prendere di mira o sfruttare cittadini statunitensi". , residenti e aziende”.

Il Dipartimento di Giustizia ha aggiunto che in un periodo di 18 mesi, i tre hanno creato due simili sistemi di hacking e raccolta di informazioni "zero-click" che hanno sfruttato i server negli Stati Uniti appartenenti a una società tecnologica statunitense "per ottenere l'accesso remoto e non autorizzato a qualsiasi decine di milioni di smartphone e dispositivi mobili che utilizzano un sistema operativo fornito dall'azienda statunitense.

"Gli imputati e altri dipendenti del CIO si riferivano colloquialmente a questi due sistemi come 'KARMA' e 'KARMA 2'", ha spiegato il DOJ.

"I dipendenti del CIO le cui attività erano supervisionate e/o note agli imputati hanno utilizzato i sistemi KARMA per ottenere, senza autorizzazione, credenziali di accesso di individui mirati e altri token di autenticazione (cioè codici digitali univoci rilasciati a utenti autorizzati) emessi da società statunitensi, inclusi provider di posta elettronica, provider di cloud storage e società di social media. I dipendenti CIO hanno quindi utilizzato questi dispositivi di accesso per accedere, sempre senza autorizzazione, agli account del bersaglio per rubare dati, anche dai server negli Stati Uniti".

L'azienda è stata costretta a creare Karma 2 dopo che l'azienda statunitense ha aggiornato il proprio sistema di smartphone per proteggersi da Karma 1. Entro il 2017, l'FBI è intervenuta di nuovo, dicendo all'azienda statunitense che Karma 2 veniva usato contro di loro. Anche dopo un altro aggiornamento, entrambi gli exploit sono stati efficaci contro i dispositivi più vecchi venduti dall'azienda.