维基解密：CIA出品不联网也可窃取数据工具-HighRise

原创 2017-07-15 E安全 E安全

更多全球网络安全资讯尽在E安全官网www.easyaq.com

E安全7月15日讯维基解密美国时间7月13日发布第16批“Vault”CIA文档，详细介绍了CIA的一款拦截短信息，并将其重定向到远程Web服务器的一款Android恶意程序，名为“摩天大楼”（HighRise）。

维基解密公开的HighRise用户手册显示，其只在Android 4.0至4.3（Android Ice Cream Sandwich和Jelly Bean）上运作，这份手册制作时间为2013年12月，时隔近4年，CIA应该已经更新升级了这款工具，以适应较新版本的Android操作系统。

HighRise及其特征

一般来说，恶意软件通过内部连接把从被入侵设备中盗取的信息发送给攻击者控制的服务器（监听站），但就智能手机而言，恶意软件可以通过短信等途径将窃取的数据发送给攻击者。

至于通过短信收集窃取的数据，攻击者必须处理一个主要问题，即分类并分析从多台目标设备接收的大批量信息。

为了解决这个问题，CIA创建了一款简单的Android应用“HighRise”，作为被感染设备和监听服务器之间的短信代理。

HighRise 来源于一个名为 TideCheck 的 APP （tidecheck-2.0.apk, MD5: 05ed39b0f1e578986b1169537f0a66fe），用于从被入侵设备中通过短信接收所有的被盗数据。

CIA必须将TideCheck安装到目标设备上，之后手动运行至少一次才能让该工具获得持久运行。这看起来就很不方便，因此这款工具并不是用来实施社会工程学攻击。但首次运行该工具时，CIA必须输入阿拉伯单词“inshallah”（“上帝的意愿”）。

特征

HighRise用户手册显示其主要特征包括：

将所有接收的短信息发送到CIA控制的网络服务器。
通过 HighRise 主机从被入侵的手机端发送短信。
在HighRise现场操作员与监听站之间提供通信信道。
利用TLS/SSL互联网安全通信。

从后两项特征看出，HighRise这款APP并非必须要安装在目标手机上，而是可以将TideCheck安装到CIA操作人员的手机上，可以为操作人员与监听人员之间提供二级加密通信信道。

HighRise如何运作？

HighRise是一个短信代理，一旦初始化并配置得当，将在后台持续运行，将“接收”和“发出”的短信通过TLS/SSL安全网络通信信道将短信转发到CIA的监听站。在设备与监听站之间实现更好的分离性。

一旦安装成功，这款应用程序会提示输入密码，其默认密码为“inshallah”，登录之后，会出现以下三个选项：

初始化——运行 HighRise 工具。
显示/编辑配置——显示并编辑 HighRise 的配置文件，包括必须使用 HTTPS 的监听站服务器URL。
发送短信——允许操作者从手机端向 CIA 控制的远程服务器发送短信。

下面是E安全整理的维基解密自今年3月以来披露发布的CIA工具，点击即可查看：

OutlawCountry（“法外之地”，入侵运行有Linux操作系统的计算机）；
Elsa（“艾尔莎”，利用WiFi追踪电脑地理位置）；
Brutal Kangaroo（“野蛮袋鼠”，攻击网闸设备和封闭网络）；
Emotional Simian（“情感猿猴”，针对网闸设备的病毒）
Cherry Blossom （“樱花”，攻击无线设备的框架）；
Pandemic（“流行病”，文件服务器转换为恶意软件感染源）；
Athena（“雅典娜”，恶意间谍软件，能威胁所有Windows版本）；
AfterMidnight （“午夜之后”，Winodws平台上的恶意软件框架）；
Archimedes（“阿基米德”，中间人攻击工具）；
Scribbles（CIA追踪涉嫌告密者的程序）；
Weeping Angel （“哭泣天使”，将智能电视的麦克风转变为监控工具）；
Hive （“蜂巢”，多平台入侵植入和管理控制工具）；
Grasshopper（“蝗虫”，针对Windows系统的一个高度可配置木马远控植入工具）；
Marble Framework （“大理石框架”，用来对黑客软件的开发代码进行混淆处理、防止被归因调查取证）；
Dark Matter（“暗物质”，CIA入侵苹果Mac和iOS设备的技术与工具）