A Citizen Lab egy elég érdekes tanulmányt közölt az olasz székhelyű, kormányzati felhasználásra szánt spyware-eikről elhíresült Hacking Team lenyomozhatatlan szervereinek lenyomozásáról. A felderített célpontok között pedig egy magyar cím is szerepel.

Miután a Citizen Lab közölte a kiszolgáló IP-jének első három oktettjét, a szervert pedig még aktívként tüntették fel, gondoltam játszom egy kicsit. Úgy tűnik nagyjából 5 perc alatt sikerült megtalálni az ominózus RCS (Remote Control System) szervert a Telekom egyik fix IP-knek fenntartott tartományában - a kiszolgáló lenyomozása remek házifeladat tanulni vágyóknak :)

7973ED02A4A9A2387A99C4410FC0B1DC9012FBE5C605C845AD6A17F31802E12B

A Citizen Lab a kiszolgálók azonosításakor egyrészt a magukat egyszerű HTTP szervereknek álcázó RCS válaszok mintáira, másrészt a kiszolgálók SSL tanúsítványaira hagyatkoztak, a proxy láncokat pedig az csomagok fragmenteket azonosító IPID mezőjének figyelésével azonosították. Ez a mező régebbi operációs rendszereken globálisan használt és kiküldött csomagonként inkrementálódik, az értékéből tehát következtetni lehet arra, hogy egy kiszolgáló hány csomagot küldött ki a megelőző időszakban. A szakérők beküldtek egy csomagot egy RCS szerverként azonosított hosztra, és figyelték, hogy mely más szerverek IPID értékei növekednek ezzel szinkronban. Ilyen módon egy kis statisztikát bevetve a bizonytalanságok enyhítésére elég biztos eredményeket lehet kapni, azonban a Citizen Lab eredményei még így sem 100%-ig meggyőzőek. Maga a tanulmány is számos alkalommal hangsúlyozza, hogy feltevéseket, nem bizonyított, vagy egyenesen bizonyíthatatlan állításokat fogalmaz meg.

Egyebek mellett például a műfaj sajátosságaiból adódóan soha nem állíthatjuk teljes bizonyossággal, hogy egy szolgáltatást nyújtó hoszt és az azt használó személy(ek) fizikai elhelyezkedése között kapcsolat lenne, tehát simán elképzelhető, hogy a Dataplexben zümmögő gépet valójában az etióp elhárítás használja, vagy éppen fordítva, ezért messze menő következtetéseket ezen adatok alapján nem érdemes levonni. Szerk.: Az viszont annál érdekesebb, hogy Magyarországhoz köthető spyware mintákat is találtak...