كشف الستار: جواسيس إلكترونيون استخدموا برمجيات خبيثة من GitHub لاختراق شبكة هواتف إنكروتشات المشفرة

كشفت مجلة ‘كمبيوتر ويكلي’ للمرة الأولى كيف تمكن جواسيس إلكترونيون فرنسيون من اختراق هواتف إنكروتشات (EncroChat)، التي كانت تستخدمها مجموعات الجريمة المنظمة، في عام 2020. في هذا المقال الافتتاحي من سلسلة مقالين رئيسيين، نكشف كيف قامت شركة تشيكية متخصصة في برامج التجسس بإعادة اختراق العملية الفرنسية ووجدت أن البرمجيات الخبيثة الفرنسية – التي وصفت بأنها سر من أسرار الأمن القومي – قد تم نسخها من منصة GitHub الشهيرة لمشاركة الأكواد.

كشفت عملية إعادة الاختراق التشيكية عن بصمات رقمية تتطابق مع الأدلة الفرنسية التي أُرسلت عبر أوروبا، مما أثبت كيفية نسخ الرسائل. يقول محامون بريطانيون إن الكشف عن الطريقة الفرنسية من المرجح أن يعيد فتح قضية حاسمة بشأن قانونية تكتيكات الشرطة في قضية إنكروتشات أمام محكمة سلطات التحقيق في بريطانيا، والتي تم تأجيلها لأكثر من عامين بانتظار نتيجة حول كيفية تنفيذ الاختراق. تجدر الإشارة إلى أنه تم خلال ‘عملية فينيتيك’ التابعة للوكالة الوطنية لمكافحة الجريمة، وباستخدام بيانات الهواتف المخترقة من فرنسا، ضبط مخازن أسلحة ومئات الملايين من الجنيهات الإسترلينية من المخدرات والأموال.

يمكن لـ’كمبيوتر ويكلي’ أن تكشف أن مجموعة القرصنة الحكومية الفرنسية السرية، التي اخترقت عشرات الآلاف من الهواتف المشفرة الآمنة في أوروبا، استخدمت ثغرة أمنية في نظام أندرويد رُصدت لأول مرة عام 2017. لمدة عامين، ظلت ثغرة أمنية قاتلة، تُعرف باسم خطأ ‘باد بايندر’ (Bad Binder)، دون تصحيح داخل 2.5 مليار هاتف، مما ترك المستخدمين عرضة لأقصى درجات الخطر. سمحت هذه الثغرة للجواسيس الإلكترونيين بالسيطرة الكاملة على الهواتف المصابة ونسخ أو تغيير بيانات المستخدمين وبرامجهم وملفاتهم حسب الرغبة.

كشف تقرير مبتكر صادر عن باحثين تشيك، حصلت عليه ‘كمبيوتر ويكلي’، بالاشتراك مع تحليل خبراء للمواد المعترضة، كيف اعتمد ‘الزرع’ الفرنسي على باد بايندر، وأن الكود الخاص به كان سيئ الكتابة، وعرضة للفشل المتكرر، ويفتقر إلى الإجراءات المضادة الأساسية لتجنب الكشف. يُظهر كود الزرع، الذي استُعيد عن طريق الهندسة العكسية – وهو استنتاج تعليمات البرنامج من الكود المترجم لمعرفة كيفية عمله – أن الرسائل المعترضة التي كانت تُرسل داخل الهواتف المستهدفة كانت ‘مُعلقة’ ومُنسوخة على الفور تقريبًا إلى المحققين الشرطة. يقول المحامون البريطانيون إنه لو تم الكشف عن الحقائق الكاملة عند بدء المحاكمات في عام 2020، لكان من الممكن التشكيك فيما إذا كانت المحاكم قد أُبلغت بشكل صحيح.

صرح ماثيو رايدر كيه سي، المحامي البارز في أولى محاكمات إنكروتشات بالمملكة المتحدة، لـ’كمبيوتر ويكلي’ بأن هذا التحقيق الذي أجرته كمبيوتر ويكلي ومركز ساسكس للقانون والتكنولوجيا (SCLT) يمثل إنجازًا تاريخيًا. وأضاف: ‘إنه يشير إلى أننا، بعد ست سنوات، قد نتمكن أخيرًا من معرفة تفاصيل اعتراض إنكروتشات من قبل السلطات الفرنسية. ولا بد أن تكون له عواقب على الجدال القانوني المستمر وعلى المبادئ القانونية المتعلقة بالاعتراض والتداخل الحاسوبي’.

وصف خبير الطب الشرعي الحاسوبي والبرمجيات الخبيثة، فيليكس فرايلينغ، الأستاذ بجامعة فريدريش ألكسندر (FAU) في ألمانيا، التقرير بأنه فريد واختراق مثير للإعجاب. وقال إن إعادة اختراق الاختراق الفرنسي يجيب على الكثير من الأسئلة وكان خطوة كبيرة نحو فهم أفضل. وأشار فرايلينغ إلى أن كود الثغرة الذي اكتشفته شركة الأمن السيبراني التشيكية Invasys يبدو وكأنه مشروع طلابي، بما في ذلك ما يبدو أنه نسخ كود الاستغلال من الإنترنت.

وفقًا للمحامي الجنائي الهولندي البارز جوستوس رايزينغر، عضو الفريق القانوني الأوروبي للدفاع الذي يعترض على أدلة غير مفسرة، ستكون المعلومات الجديدة حيوية لمحاكمات واستئنافات إنكروتشات في أوروبا. ‘لا يمكننا ببساطة القول إننا نثق في البيانات بينما لا نستطيع إجراء بحث مناسب في طريقة الحصول عليها. هذا أمر حيوي لتوفير محاكمات عادلة للمشتبه بهم. لقد كنا نطلب هذه المعلومات لمدة ست سنوات’. في بريطانيا، حُكم على آلاف القضايا وصدرت أحكام فيها دون تفسير لكيفية الحصول على البيانات، لأن السلطات الفرنسية نصت على أن طريقة الاختراق كانت مسألة أمن قومي.

جاءت موجة القضايا البريطانية بعد خمس سنوات، كانت خلالها الشرطة في جميع أنحاء المملكة المتحدة وأوروبا تجد بشكل متزايد هواتف إنكروتشات الآمنة في مسارح الجرائم. كانت إحدى السمات الرئيسية لهذه الهواتف أنها صُممت لتبدو كأنها هواتف أندرويد عادية، مع مجموعة من أيقونات التطبيقات القياسية المعروضة. لكن هذه الأيقونات كانت وهمية لخداع المراقبين.

قبل عام 2015 تقريبًا، كانت هواتف بلاك بيري الذكية التي تعمل ببرنامج تشفير PGP (Pretty Good Privacy) توفر للعملاء التجاريين خدمة بريد إلكتروني عالية الأمان. لكن المحققين الجنائيين كانوا يجدون بشكل متزايد هواتف بلاك بيري الممكنة بـ PGP متصلة بخوادم خاصة مستقلة عند مداهمة موزعي المخدرات.

وفقًا للوكالة الوطنية لمكافحة الجريمة (NCA)، سمحت هواتف بلاك بيري الممكنة بـ PGP لمجموعات الجريمة المنظمة بتوفير الأمن التشغيلي والاتصالات الآمنة عبر البريد الإلكتروني بين أولئك الذين يشغلون أدوارًا رئيسية داخل الشبكات الإجرامية. ضمن شبكة الاستخبارات السرية ‘العيون الخمس’ (Five Eyes)، أُطلق على هذا القطاع من سوق التشفير والأمن اسم ‘الاتصالات الآمنة المخصصة للإجرام’ (CDSC). وتم إنشاء مجموعة عمل بريطانية وأوروبية لمكافحة هذه الاتصالات.

منذ عام 2017، صنفت وكالات الشرطة الأوروبية المتعاونة إنكروتشات كنظام CDSC، وفقًا لقائد فرع الوكالة الوطنية لمكافحة الجريمة واين جونز. وعلى الرغم من التحقيقات الكبرى في عدة بلدان، إلا أن تعزيز أمان هواتف إنكروتشات والتشفير من طرف إلى طرف لرسائل الدردشة أثبتا أنهما منيعان أمام العديد من أنواع الهجمات.

ادعى جونز في عام 2020 أن أجهزة إنكروتشات قد طورت وسوقت خصيصًا للمجتمع الإجرامي لتسهيل الأنشطة الإجرامية، مستندًا في رأيه إلى الأدلة والمعلومات المتاحة من جميع مصادر جمع المعلومات الاستخباراتية والأدلة العلنية والسرية المتاحة، والتي أكدها العديد من الشركاء الوطنيين والدوليين.

تبين أن أدوات الطب الشرعي القياسية للشرطة كانت عديمة الفائدة. وكانت وكالات إنفاذ القانون محرومة من الوصول. ثم حصلت الدرك – الشرطة الفرنسية – على فرصة حظ. في أواخر صيف عام 2019، تلقت فرق التهديدات في جوجل معلومات حول ثغرة أمنية تدعم برامج التجسس على أندرويد المستخدمة للتجسس على أهداف وكالة الاستخبارات السيبرانية الإسرائيلية سيئة السمعة، مجموعة NSO، ومقرها في هرتسليا، ونظام برمجيات التجسس ‘بيغاسوس’ الخاص بها.

أصبح برنامج التجسس بيغاسوس الآن محور جدل عالمي بسبب بيعه على نطاق واسع للحكومات القمعية التي تستهدف المدافعين عن حقوق الإنسان والصحفيين والمعارضين السياسيين، مما أدى إلى أكثر من 30 قضية قضائية حالية وغرامة قدرها 168 مليون دولار لشركة ميتا.

أثبتت المعلومة حول ثغرة بيغاسوس أنها بداية النهاية لإنكروتشات.

قصة إنكروتشات: من الحب إلى الانهيار

في يونيو 2014، التقى اثنان من مطوري التكنولوجيا الكنديين لتناول العشاء في أطراف جبال روكي لمناقشة هواتف ذكية محصنة من المستوى التالي. كان بول كروسكي قد سافر إلى كالغاري، ألبرتا، من منزله الكاريبي في مستوطنة مسورة في جمهورية الدومينيكان. بينما كان مضيفه، جيف غرين، قد أسس شركة مايندكس (Myntex Inc)، التي كانت تبيع هواتف بلاك بيري الذكية المزودة ببرنامج PGP كحل أمني.

كانت شركة كروسكي، ‘إيسوتيريك كوميونيكيشنز’ (Esoteric Communications Inc)، مسجلة في بنما، وقد باعت هي الأخرى هواتف بلاك بيري المزودة بـ PGP. أخبر كروسكي غرين أنه أنشأ حلاً أمنيًا لهواتف أندرويد الذكية الأحدث. تطبيق الدردشة الآمن الخاص به على أندرويد كان يُسمى ‘إيسوكريبت’ (Esocrypt)، وتم تحديده داخل الهواتف باسم ‘com.esocrypt.chat.app.im’. ثم غيّر كروسكي الاسم إلى إنكروتشات.

أرسل كروسكي إلى غرين تفاصيل ‘نموذج أمان إنكروتشات’ الخاص به، الذي تم تجميعه من مشاريع مفتوحة المصدر متعددة. استخدمت الرسائل الآمنة بروتوكول Off-the-Record Messaging، وهو سلف لتطبيق سيغنال (Signal). وكان نظام التشغيل المحصن هو ‘غارديان روم’ (Guardian ROM)، نسخة من أندرويد طورتها ‘مشروع غارديان’ (Guardian Project)، وهي مجموعة أمريكية تعمل من أجل النشطاء والصحفيين والمستخدمين العاديين الذين يقدرون الخصوصية والأمان.

أوضح كروسكي أنه يمكن ‘تعديل’ هاتف عادي منخفض التكلفة – أي إعادة كتابة ذاكرته وإضافة منطقة تخزين مشفرة بشكل مستقل ونظام تشغيل ثانٍ. كان نظام التشغيل الأول يبدو وكأنه هاتف ذكي عادي، لكنه لا يؤدي أي وظائف. بينما كان نظام التشغيل الثاني يُفعّل بواسطة مجموعة مفاتيح خاصة. عند إدخال ‘رقم التعريف الشخصي للتشغيل’ (boot PIN)، يبدأ نظام التشغيل إنكروتشات الثاني المدرع ويفتح قسم الذاكرة ‘بيانات المستخدم’ (userdata) المشفر بأمان.

كانت هواتف إنكروتشات باهظة الثمن، حيث تجاوز سعر العقد لمدة ستة أشهر 1000 دولار، ولم تكن ذكية أبدًا. لم تكن تحتوي على ميزات الهواتف الذكية الحديثة، بل كانت ترسل الرسائل أو الصور، وتخزن الملاحظات، وربما تجري مكالمات هاتفية في بعض الأحيان. لم تكن تستطيع الوصول إلى جوجل أو نتفليكس، ولا تشغيل الموسيقى. كانت هواتف إنكروتشات تُستخدم لتبادل الرسائل والصور شديدة الأمان بين مجموعات مغلقة من المستخدمين، ويُشتبه في أنهم غالبًا ما كانوا مجموعات إجرامية، لم يستخدموا أرقامًا أو أسماء حقيقية، بل استخدموا كلمات وصفية عشوائية تُسمى ‘الأسماء المستعارة’. وكانت جميع رسائل إنكروتشات تُمحى تلقائيًا في غضون 14 يومًا، باستخدام ‘وقت حرق’ يختاره المرسل.

وجد غرين أن كروسكي كان رجلاً ذكيًا جدًا وممتعًا في الحديث عن التكنولوجيا. في ذلك الوقت، كان لدى إنكروتشات 50 عميلاً فقط. وقع غرين ليصبح بائعًا ومن كروسكي شخصيًا تدرب على كيفية عمل إنكروتشات، من الداخل والخارج. استخدم كروسكي أجهزة كمبيوتر راسبيري باي (Raspberry Pi) صغيرة لـ’تعديل’ هواتف أندرويد وتحويلها إلى أجهزة إنكروتشات، وعرض واحدة على غرين. حول غرين عملاء مايندكس من هواتف بلاك بيري المزودة بـ PGP إلى إنكروتشات، وسافر إلى أوروبا لتقديم الهاتف إلى موزعينا الحاليين. الجميع أحب إنكروتشات!

بحلول عام 2016، كان لدى غرين آلاف العملاء لإنكروتشات يدفعون أكثر من 5 ملايين دولار سنويًا. وازدادت المنافسة بعد أن أغلقت الشرطة الهولندية شبكة ‘إينتكوم’ (Ennetcom)، وهي شبكة PGP بلاك بيري أخرى مقرها كندا، واصفة إياها بأنها أكبر شبكة مشفرة تستخدمها الجريمة المنظمة في هولندا. رد غرين ببيان صحفي ادعى فيه: ‘لقد توسعت مايندكس… لمساعدة العملاء الهولنديين المحبطين… ونحن نبذل جهدًا كبيرًا لتوسيع عملياتنا… لتلبية ما هو بوضوح طلب صحي للاتصالات المشفرة في هذا الجزء من أوروبا. ولدينا أيضًا ما نعتقد أنه خيار أفضل سنعرضه على العملاء الهولنديين، وهو إنكروتشات’.

بعد العرض، ألغى كروسكي الصفقة، وأخبر غرين أن إنكروتشات قد بيعت. وتذكر غرين: ‘تم مسح هاتف إنكروتشات الخاص بي [عن بعد] وتم حظر بوابة منتجاتنا’. وقال لـ’كمبيوتر ويكلي’ إن تورطه مع إنكروتشات كان تجربة مؤلمة أضرت بأعمالنا وسلامتنا الشخصية. بعد عام 2016، لم نعد متورطين.

بعد عقد من الاتصال الكندي، تم العثور على اسم تطبيق كروسكي، ‘إيسوكريبت’ (Esocrypt)، في قلب كود البرمجيات الخبيثة الفرنسية. وقد كشف هذا عن الإجابة التي طال انتظارها حول كيفية تمكن وكالات الشرطة الأوروبية في عام 2020 من قراءة ملايين رسائل الهاتف المحمول، مما أدى إلى أكثر من 6500 اعتقال، ومصادرة 270 طناً من المخدرات، والعثور على أموال بقيمة تقارب مليار يورو.

تم احتجاز بول كروسكي في جمهورية الدومينيكان عام 2022، وتم تسليمه إلى فرنسا عام 2024 وهو الآن في سجن لا سانتيه بباريس، بانتظار المحاكمة بتهمة 16 تهمة، بما في ذلك الاتجار بالمخدرات والاتجار بالأسلحة وغسل الأموال، ويواجه أحكامًا قصوى مجتمعة تصل إلى 130 عامًا في السجن.

اكتشاف ثغرة ‘باد بايندر’ المدمرة

في أواخر صيف عام 2019، تلقت مادي ستون، عضوة فريق ‘بروجكت زيرو’ (Project Zero) من جوجل، تنبيهًا حول ثغرة يوم صفر (0-day exploit) لنظام أندرويد، كانت جزءًا من سلسلة هجمات نصبت برنامج التجسس بيغاسوس على الأجهزة المستهدفة. أُفيد أن بيغاسوس، الذي تبيعه شركة NSO الإسرائيلية سيئة السمعة في جميع أنحاء العالم، يصيب الهواتف بتصعيد امتيازات النواة باستخدام ثغرة استخدام بعد التحرير (use-after-free vulnerability). تتبعت ستون الخلل بسرعة، وبلغت عنه في 27 سبتمبر 2019.

كان اكتشاف ستون خطيرًا وعاجلاً. على الرغم من أن الثغرة الأمنية في نواة لينكس، التي تُعد قلب نظام التشغيل أندرويد، قد لوحظت في عام 2017، إلا أن فشل جوجل في إصلاح أندرويد أثار استجابة أزمة، تبعها تحذير عالمي من التهديدات بعد أسبوع واحد فقط. وأشادت ستون التي وُصفت بأنها صيادة أخطاء شرسة بفرحها: ‘أول ثغرة لي في بروجكت زيرو!’. تم تحديث هواتف جوجل بيكسل بسرعة، ولكن ليس الهواتف الأخرى – بما في ذلك إنكروتشات.

أدرج المعهد الوطني الأمريكي للمعايير والتكنولوجيا (NIST) ثغرة باد بايندر في قاعدة بيانات الثغرات الوطنية باسم CVE-2019-2215. بعد أسبوع، تم نشر كود ستون الكامل – الذي يُسمى ‘إثبات المفهوم’ (Proof of Concept) – على منصة المطورين GitHub. وحذرت مجلة فوربس بدقة: ‘من المحتمل استخدام CVE-2019-2215 في هجمات مستهدفة جدًا’.

أخذ فريق مكافحة الجرائم الإلكترونية للشرطة الوطنية الفرنسية، C3N، الأمر بعين الاعتبار. إذا تحركوا بسرعة، يمكن أن تكون إنكروتشات صيدًا سهلاً. كانت جميع خوادم إنكروتشات تقريبًا تعمل تحت الولاية القضائية الفرنسية، في مركز بيانات تديره شركة استضافة الويب والحوسبة السحابية الفرنسية OVH (الآن OVHcloud) في مدينة روبيه الصناعية الشمالية. طلب C3N من محكمة الحرية والحضانة في ليل إصدار أمر لمركز بيانات OVH لإنشاء نسخ صورية من خوادم إنكروتشات.

نسخ OVH 71 صورة آلة افتراضية تعمل على 33 نطاقًا فرعيًا للإنترنت. وتم العثور على ما مجموعه 66,134 بطاقة SIM – وبالتالي يحتمل نفس العدد من الهواتف – مسجلة في شبكة إنكروتشات. ثم استدعى C3N فريق القرصنة الحكومي الفرنسي المشكل حديثًا، STNCJ (Service Technique National de Captation Judiciaire).

في عام 2019، تم بناء جميع هواتف إنكروتشات من إصدارات العلامة التجارية ‘BQ Aquaris’ X وX2، التي تبيعها الشركة الإسبانية Mundo Reader S.L. وقد استخدمت هذه الهواتف إصدارًا من نظام التشغيل أندرويد 8 لعام 2018، والذي أطلقت عليه جوجل اسم ‘أوريو’ (Oreo) وأطلقت عليه موندو اسم ‘زانغيا’ (Zangya). وعلى الرغم من أن هواتف جوجل كانت تُحدث بانتظام، أظهرت البيانات المنقولة من هواتف إنكروتشات المخترقة في عام 2020 أن جميعها استخدمت ‘زانغيا’، كما تم بناؤها في 14 نوفمبر 2018.

وجد باحثو جوجل أن إدخال ثغرة باد بايندر الخاصة بـ NSO داخل الهواتف لم يكن أمرًا سهلاً. لتثبيت باد بايندر كان يتطلب إما تهريب تطبيق برمجيات خبيثة، أو إنشاء موقع ويب ضار باستخدام ثغرات أخرى، ثم خداع المستخدمين لزيارته. كلا الحيلتين كانتا مستحيلتين، حيث لم تكن هواتف إنكروتشات تتضمن متصفحات ولم يتمكن مستخدمو إنكروتشات من تحميل تطبيقات غير إنكروتشات. لكن الفرنسيين، ثم التشيكيين، وجدوا طرقًا للدخول.

كان خادم تحديث إنكروتشات، على عنوان الويب ‘update.encrochat.ch’، تحت الولاية القضائية الفرنسية. كانت هواتف إنكروتشات مُعدة للتحقق من التحديثات في كل مرة يتم استخدامها، وعادة ما تفعل ذلك يوميًا. كانت العملية تلقائية وصامتة للمستخدمين، ولم تتطلب إشعارًا أو موافقة.

في بداية عام 2020، تداولت شائعات في أوساط الشرطة بأن الفرنسيين يخططون لاختراق إنكروتشات. يعني إهمال إنكروتشات لتحذير باد بايندر غير المصحح أن الاستغلال الفرنسي لم يكن متطورًا بالقدر الذي تصوره الجمهور، وفقًا لباحثي الأمن السيبراني.

السيطرة الكاملة: كيف تمكن الفرنسيون من اختراق إنكروتشات

واجه أي مدخل إلى إنكروتشات حارسًا بوابة يُدعى SELinux (Security-Enhanced Linux). طورته وكالة الأمن القومي الأمريكية (NSA) بالتعاون مع ريد هات (Red Hat)، يتحكم SELinux في جميع العمليات على الجهاز، ويمكن إيقافه فقط إذا استخدم المخترقون ثغرة أمنية مثل باد بايندر لتعطيله. إذا فعلوا ذلك، يصبح الجهاز ‘مُمتلكًا’ (pwned).

كان لـباد بايندر القدرة على ‘الامتلاك’. وجد المخترقون الفرنسيون أنهم يستطيعون التشغيل بامتيازات ‘الروت’ (root)، وبالتالي تعطيل حتى SELinux، كما اكتشفت الهندسة العكسية لاحقًا. كانت الحيلة هي استخدام عيب في برنامج النواة الذي ترك بشكل غير صحيح إمكانية الوصول إلى منطقة ذاكرة محررّة، مما يسمح للمهاجم بوضع كود عشوائي في المساحة الحرة ثم تشغيله. فُتح بذلك باب إلى إنكروتشات.

في 22 يناير 2020، استضافت منظمة العدل الأوروبية (Eurojust) اجتماعًا سريًا في لاهاي. في الاجتماع، كشف الدرك أنهم وجدوا ثغرة أمنية يمكنهم استغلالها في الوقت الحقيقي لسحب البيانات من الهواتف إلى خادمهم، وفقًا لتقرير ضابطة من الوكالة الوطنية لمكافحة الجريمة (NCA) إلى قادتها. وأوضحت أن المملكة المتحدة يمكن أن تحصل على حق الوصول – ولكن في وقت زمني سريع ومرعب.

خُطط الهجوم الفرنسي ليوم الثلاثاء 10 مارس 2020. وذكرت ضابطة الوكالة الوطنية لمكافحة الجريمة: ‘إنهم مترددون في التأجيل لأن العملية تستند إلى ثغرة أمنية يمكن إصلاحها في أي وقت’.

أطلق الفرنسيون على البرمجيات الخبيثة اسم الزرع أو الأداة أو الحل التقني. ورفضوا إخبار الشركاء الدوليين بأي شيء عن كيفية عملها.

في ليل بعد أسبوع، سمحت القاضية صوفي أليكس لفريق الدرك بتثبيت معدات مراقبة داخل مركز بيانات روبيه للوصول إلى البيانات الحاسوبية وتسجيلها وتخزينها ونقلها في أي مكان. وأذن أمر متابعة للوحدة بالتجسس على حركة المرور الهاتفية والتقاط البيانات بوسائل الإرسال عبر شبكة اتصالات إلكترونية على الأجهزة النهائية والطرفيات. كانت هذه الخطة الفرنسية مكافئًا سيبرانيًا لعملية سطو خاطفة. سيقومون ببناء نسخة طبق الأصل من خادم تحديث إنكروتشات من النسخ التي قاموا بإنشائها، ثم يقومون بترتيب تحويل عملاء إنكروتشات في جميع أنحاء العالم إلى خادم الشرطة المزيف باستخدام ‘موازن حمل’ الشبكة. ثم سيرسلون باد بايندر.

شهدت المرحلة التالية من هجوم البرمجيات الخبيثة الفرنسية عودة فريق STNCJ، المخترقين الحكوميين، إلى GitHub. قاموا بتنزيل ‘فريدا‘ (Frida)، وهي مجموعة أدوات مفتوحة المصدر لاختبار ومراقبة نظام أندرويد. بمجرد تشغيلها داخل الهاتف، يمكن لـفريدا التحقق من أي إجراء، أو مقاطعته، أو تغييره، فور حدوثه.

يوم الزرع: بداية النهاية لشبكة إنكروتشات

تعثر فريق STNCJ في محاولاته لإتقان الكود، مرتكبًا أخطاء متعددة ومجبرًا على تأخير التاريخ المخطط للهجوم ثلاثة أسابيع. بعد التأخيرات والأخطاء والبدايات الخاطئة، وبينما كان العالم الخارجي في حالة إغلاق لمكافحة كوفيد، تم تحديد يوم الزرع أخيرًا في الأربعاء 1 أبريل 2020. أمرت السلطات الفرنسية سرًا بإغلاق شبكة OVH بعد ظهر 1 أبريل، لمنع مشغلي إنكروتشات من تغيير اتصالات الإنترنت بينما يقوم موازن الحمل بإعادة توجيه هواتف عملائهم لتنزيل وتشغيل حزم البرمجيات الخبيثة.

وفقًا لأدلة قُدمت لمحكمة ألمانية بعد عامين، في تمام الساعة 3:15 مساءً بتوقيت وسط أوروبا في 1 أبريل 2020، تم إخراج كود الزرع الخاص بـ STNCJ، المخزن في ذاكرة فلاش في خزنة، وتم حقنه عن بعد في نظام تحديث إنكروتشات. في صباح اليوم التالي، 2 أبريل 2020، بدأت أعداد هائلة من هواتف إنكروتشات المصابة حديثًا بإرسال دفعات ضخمة من الملفات المنسوخة، مما أدى إلى إغراق وإبطاء اتصالات الإنترنت إلى OVH. على مدى الشهرين التاليين، أصيب 32,014 جهازًا وأصبحت تحت سيطرة خادم قيادة C3N.

داخل OVH، كانت حرب سيبرانية سرية وصامتة جارية. كانت نفس رفوف الخوادم التي تدير اتصالات إنكروتشات تحتوي الآن على شبكة شرطة طبق الأصل مُعاد بناؤها وخادم جمع البيانات الحاسم للدرك على عنوان الإنترنت 147.135.143.19. كان عنوان IP هذا في نفس نطاق خوادم إنكروتشات الحقيقية.

تم العثور على العنوان الكامل الخفي والسرّي لخادم التحكم، بواسطة الهندسة العكسية لاحقًا، وهو https://147.135.143.19:443/214bWv97igU5uGKsGJOcEIyqZeovE3. وكانت البيانات المتدفقة إلى هذا العنوان كل ساعة تشمل الآن ما يصل إلى عشرات الملايين من الكائنات (JSONs)، كل منها يبلغ عن حدث واحد على هاتف مصاب، فور حدوثه – كل كلمة مرور يتم إدخالها، كل صورة يتم إنشاؤها أو استلامها، كل رسالة، كل ملاحظة يتم إدخالها أو حذفها من حاوية EncroNotes المشفرة.

أبلغت أكثر كائنات JSONs تكرارًا، CellLocation، عن كل مرة يتصل فيها الهاتف ببرج راديو محمول مختلف، مما سمح لفرق الشرطة بتتبع التحركات والرسائل في الوقت الفعلي – بفضل باد بايندر وفريدا. أظهر التحليل أن الرسائل المنسوخة عادة ما تغادر الهواتف المصابة في أقل من ثانية واحدة، وتصل إلى أجهزة الكمبيوتر الخاصة بالشرطة في أقل من 20 ثانية.

فشلت معظم الزراعات الفرنسية المصممة على عجل بسرعة. ثم أعيدت إصابة الهواتف أو أعيد تشغيل الزراعات عدة مرات على مدار أسبوع بعد الإصابات الأولى. كانت الزراعات الجديدة أو التي أعيد تشغيلها نادرة بعد 8 أبريل 2020، لكنها حدثت بشكل متقطع حتى مايو.

مع استمرار الهجوم، أدت القرائن المتروكة والأخطاء التشغيلية الناجمة عن الزراعات إلى زيادة شكوك مشغلي إنكروتشات. ثم ارتكب الطرفان أخطاء قاتلة. في 12 يونيو 2020، عاد فريق STNCJ ببرمجيات خبيثة جديدة وثغرة مختلفة. باتباع النمط السابق، قاموا بإغلاق شبكة إنكروتشات قانونيًا وحقنوا برمجيات خبيثة للجيل الجديد من أجهزة إنكروتشات، التي تسمى X3 أو ‘كربون’.

فشل الهجوم الفرنسي الثاني، كاشفًا غطاء STNCJ. رأى مشغلو إنكروتشات التغيير وحاولوا استعادة السيطرة. كما فحصوا البرمجيات الخبيثة. حذرت إنكروتشات البائعين مبكرًا في صباح اليوم التالي، 13 يونيو:

• وحدات الكربون [X3] الخاصة بنا تعرضت لهجوم، وبالتحديد إصدار البرنامج الثابت c0.03.19… كإجراء وقائي، قمنا بإيقاف شبكة SIM بأكملها…
• كان هناك نافذة زمنية مدتها 30 دقيقة حدث فيها اختراق لنظامنا، مما أدى إلى إصابة هذا البرنامج الثابت المحدد. بمجرد اكتشاف ذلك، قمنا على الفور بتعطيل الشبكة بأكملها…
• أفضل ما يمكننا التأكد منه هو أن حوالي 50% من أجهزة الكربون [أصيبت] في أوروبا (بسبب جدول التحديث).

بعد أن أثبتت الصلاحيات القانونية للحكومة الفرنسية أنها حاسمة في المعركة السيبرانية، استسلم مشغلو إنكروتشات، وأرسلوا رسالة إلى جميع المستخدمين:

• بسيطرتهم على نطاقنا، تمكنوا من شن حملة برمجيات خبيثة ضد الكربون لإضعاف أمنه. نظرًا لمستوى تعقيد الهجوم وكود البرمجيات الخبيثة، لم نعد نضمن أمان جهازك. … يُنصح بإيقاف تشغيل جهازك والتخلص منه جسديًا على الفور.

باستخدام الواي فاي بدلاً من الراديو، ظل عدد قليل من العملاء متصلين وتحدثوا لبضعة أيام. لكن الشبكة توقفت بسرعة. ومع عدم كون الهجوم الفرنسي سريًا بعد الآن، بدأت مئات التحقيقات والمداهمات في جميع أنحاء المملكة المتحدة وأوروبا.

بسبب السرية المزعومة حول تقنية اعتراض الرسائل وحجب المعلومات الموصوفة هنا الآن، كانت هناك العديد من القضايا القضائية المتنازع عليها في المملكة المتحدة وعبر أوروبا، بما في ذلك أمام محكمة العدل الأوروبية والمحكمة الأوروبية لحقوق الإنسان.

الهجوم المضاد: كشف أسرار الاختراق الفرنسي

مرت ست سنوات منذ أن أدى اختراق إنكروتشات إلى إطلاق آلاف المحاكمات الجنائية. وبسبب تعنت المسؤولين البريطانيين والفرنسيين، والاشتباه في تلاعب خطير بالأدلة الجنائية التي قدمتها الشرطة، لم يصدر أمر قاضٍ في محاكمة إنكروتشات كبرى في لندن حتى أغسطس 2024 يطالب الوكالة الوطنية لمكافحة الجريمة بتسليم هاتف إنكروتشات مصاب لإجراء فحص جنائي فعال.

أُرسلت الهواتف إلى شركة أمن سيبراني أوروبية غير معروفة نسبيًا تُدعى ‘إنفاسيس’ (Invasys)، ومقرها في برنو، التشيك. إنفاسيس هي نسخة ‘وايت هات’ (white hat) من NSO، تبيع برمجيات خبيثة للحكومات لأغراض جمع المعلومات الاستخباراتية، ويديرها كيري سليتسجوي (Kyrre Sletsjøe).

بعد فترة وجيزة من تقديم سليتسجوي تقريرًا خبيرًا لقضية في المحكمة الجنائية المركزية بلندن في فبراير 2025، عرضت شركته في معرض الأمن والشرطة بوزارة الداخلية في فارنبورو، معلنة عن مساعدة الحكومات في مراقبة الهواتف المحمولة باستخدام حزم تُدعى كيلبي (Kelpie)، تنغستن (Tungsten)، وتيلوس (Tellus). وسرعان ما تم توزيع تقريره المكون من 146 صفحة مع ملاحقه من قبل دائرة الادعاء الملكي في المملكة المتحدة على الفرق المشاركة في أكثر من ألف قضية إنكروتشات أخرى. (يقع على عاتق المدعين العامين في المحاكمات البريطانية واجب قانوني لتمرير المعلومات التي يتلقونها والتي يمكن أن تساعد المدعى عليهم).

أخبر محامون وخبراء تشفير وأمن بريطانيون وأوروبيون ‘كمبيوتر ويكلي’ أنهم ينظرون الآن بعمق في أهمية تقرير سليتسجوي للقضايا القانونية الأخرى.

من بين ثلاثة هواتف يُزعم أنها مصابة فُحصت في مختبر برنو عام 2024، وجدت ‘إنفاسيس’ أن واحدًا منها كان مصابًا بشكل مؤكد. الهاتف، الذي كان يحمل الاسم المستعار LOGICALDEMON، عُثر عليه في سيارة في واندسورث في يونيو 2020. وقد أصيب ببرمجيات خبيثة فرنسية في 2 أبريل 2020. واعترف المستخدم، بيتر طومسون، بمؤامرة استيراد مخدرات غير قانونية ضخمة تضمنت استيراد ما يقرب من طن من الكوكايين في شهرين ونصف، وحكم عليه بالسجن لمدة 20 عامًا وستة أشهر.

وجدت ‘إنفاسيس’ أن نسخ البيانات من الشرائح داخل هواتف إنكروتشات كان شاقًا. بدأت الشركة العمل في أواخر عام 2022، وحاولت الدخول إلى ستة أجهزة باستخدام طريقة ‘نزع الشريحة’ (chip-off). تعني طريقة نزع الشريحة فك الهواتف ثم فك لحام شرائح الذاكرة لإزالتها من لوحاتها الأم. يتطلب فك اللحام أيضًا تحرير مئات المسامير بأمان دون تلف، مع عدم تدمير الشريحة بالحرارة الزائدة. تم تدمير شريحتي إنكروتشات من أصل ستة خلال الاختبارات.

على أربع شرائح متبقية، حددت الاختبارات منطقة ‘بيانات المستخدم’ (userdata) المخفية. وأفادت ‘إنفاسيس’ أن هذا القسم الذي يبلغ حجمه 22 جيجابايت كان غير قابل للكسر ومحمي بتشفير قوي. ‘فشلت جميع محاولات فك تشفير البيانات في وقت معقول’. ووجد أن قسم بيانات المستخدم في إنكروتشات محمي بطبقات تشفير مزدوجة – باستخدام وحدة أجهزة على اللوحات الأم التي تم فك لحامها الآن بالإضافة إلى كلمة مرور مستخدم أو رقم تعريف شخصي للكشف عن مفتاح ثانٍ.

علمت ‘إنفاسيس’ أن نهج ‘نزع الشريحة’ لم يكن ليُفلح أبدًا. حتى لو كان رقم التعريف الشخصي للهاتف معروفًا، فإن شريحة الذاكرة لن تفتح إلا إذا بقيت متصلة بلوحتها الأم. وستظل الذاكرة مغلقة، مما يمنع الوصول إلى البيانات الخام. وبدون معرفة رقم التعريف الشخصي، كان فك التشفير مستحيلًا. والأسوأ من ذلك، كانت هواتف إنكروتشات مبرمجة لمسح ذاكرتها بعد 20 محاولة فاشلة. بعد 10 محاولات فاشلة، كان المستخدمون يرون تحذيرًا على الشاشة يحسب عدد المحاولات المتبقية قبل التدمير الذاتي التلقائي.

اقترحت ‘إنفاسيس’ أن أفضل طريقة تالية هي هجوم أمامي مذهل على بيئة التنفيذ الآمنة لشركة كوالكوم (Qualcomm’s Secure Execution Environment – QSEE)، وهي منطقة معزولة ضمن معالجات الهواتف المحمولة سناب دراغون (Snapdragon) الخاصة بالشركة. اقترحت ‘إنفاسيس’ إزالة غطاء الشرائح أو تفجير أجزائها العلوية، ثم استخدام مجاهر الأشعة السينية لتحديد مكان دائرة العد، ثم تشويشها باستخدام مدافع الإلكترون أو الليزر.

وحذرت من أن هذا الهجوم سيستغرق ستة أشهر للاختبار والبدء، ثم أشهرًا أخرى لمعالجة أعداد فلكية من كلمات المرور المحتملة بينما تكون دوائر التدمير الذاتي المكشوفة مثبتة تحت تهديد مدافع الإلكترون. توقعت ‘إنفاسيس’ التضحية بالعديد من الشرائح حتى يتم العثور على حل.

كما أن اختبار رقم التعريف الشخصي بالقوة الغاشمة (brute force) سيتطلب توصيل الشرائح المحتجزة بالنيتروجين السائل للتبريد لتجنب الاحتراق. قال سليتسجوي: ‘بالنظر إلى تكلفة المعدات والوقت اللازم لاستخراج المفتاح، ستكون هذه الأنشطة باهظة الثمن وتستغرق وقتًا طويلاً جدًا… من المرجح أن تصل التكلفة في الجهد والبنية التحتية إلى مئات الآلاف من اليورو/الجنيهات’. وسيتطلب أيضًا استهلاك المزيد من شرائح هواتف إنكروتشات، وقد يستغرق أكثر من عام بكثير، وقد لا ينجح أبدًا.

التلاعب بالأدلة وتحديات التحقيق

وفقًا لخبير الطب الشرعي فرايلينغ، كان الجزء الأصعب هو بالفعل إخراج البرنامج الذي كان يعمل من الجهاز. الطريقة التي اخترقت بها Invasys الجهاز أخيرًا كانت مشابهة لكيفية دخول الشرطة الفرنسية. لقد قلدوا عملية التحديث لدفع الكود إلى الجهاز.

كانت هذه الطريقة أيضًا باهظة التكلفة ومعقدة وتستغرق وقتًا طويلاً ومحفوفة بالمخاطر. كان لا بد من خداع أي هاتف مستهدف مصاب للاعتقاد بأنه لا يزال جزءًا من شبكة إنكروتشات. للقيام بذلك، كان يعني إعادة بناء بيئة خادم إنكروتشات كما كانت موجودة قبل خمس سنوات داخل مركز بيانات OVH. من حيث المبدأ، يمكن القيام بذلك باستخدام نسخ خادم الشرطة الفرنسية التي أُنشئت عام 2019. وقد أعطيت هذه النسخ إلى الوكالة الوطنية لمكافحة الجريمة، ويمكن نسخها مرة أخرى.

بناءً على أمر محكمة عام 2022، قدمت الوكالة الوطنية لمكافحة الجريمة لشركة ‘إنفاسيس’ نسخًا من 71 صورة آلة افتراضية لخادم إنكروتشات تم إنشاؤها عام 2019. وسرعان ما وجدت ‘إنفاسيس’ أن الصور قد تم التلاعب بها.

وحذرت: ‘تم تقييد قدرتنا على التحقيق في بيانات إنكروتشات… بشدة بسبب أوجه القصور في الطب الشرعي. [الصور] يبدو أنها عولجت بانتهاك صارخ لمبادئ حفظ البيانات الجنائية/سلسلة الحفظ المعتادة، وكانت غير مكتملة و/أو قد تم تعديلها/إتلافها بحلول وقت تسليمها’.

لم يكن لدى ‘إنفاسيس’ أدنى شك في أن بيانات ضرورية قانونًا قد تم التلاعب بها أو محوها من قبل أطراف مجهولة بين وقت إنشاء النسخ الفرنسية ووقت تسليم الوكالة الوطنية لمكافحة الجريمة نسخها. تم التلاعب بالبيانات في الصور وحذفها وإتلافها (ويبدو أن ذلك تم عمدًا) بالضبط في تلك المناطق الحاسمة لعمل النظام.

قيل لمحكمة في لندن إن نقص الكشف زاد الوقت والتكلفة بشكل كبير. لكن ‘إنفاسيس’ كانت واثقة من قدرتها على التغلب على التخريب المشتبه به بما يكفي لتشغيل خادم تحديث مزيف خاص بها، وإعادة اختراق الهاتف المستهدف. وادعت: ‘لقد تمكنا على الرغم من ذلك من إعادة إنشاء أجزاء من البنية التحتية للخادم واستخدامها في تطوير طريقة استخراج قابلة للتطبيق لهواتف إنكروتشات’.

تم حجب الكشف أيضًا في محاكمات مهمة أخرى. في سبتمبر 2024، في محاكمة في نيوكاسل، طلب خبير آخر، كوشفيندر راهيلو من ‘رينفنت سيستمز’ في برمنغهام، من الوكالة الوطنية لمكافحة الجريمة الكشف عن مكون حيوي لإعادة الاختراق. كان هذا هو مفتاح توقيع تطبيق إنكروتشات، والذي عادة ما يكون ضروريًا لتثبيت تطبيقات جديدة. وقد رُفض الطلب.

استكشاف فريدا: تفاصيل البرمجية الخبيثة الفرنسية

إذا نجحت خطة إعادة البناء، فبإمكان ‘إنفاسيس’ تجربة نفس التكتيك الفرنسي. إذا نجح خادم ‘إنفاسيس’ المقلد في الاتصال، يمكنهم تشغيل تحديثات برامج الهاتف. أوضح سليتسجوي: ‘تم تكوين خادم التحديث [المقلد] للتظاهر بأن لديه حزمة تحديث جديدة متاحة للتثبيت على هواتف إنكروتشات. وفرت هذه الحزمة… نقطة انطلاق أولى في الهاتف الآمن بخلاف ذلك’. كانت حزمة التحديث عبارة عن برمجية خبيثة تشيكية.

نجح الاختراق التشيكي المعاكس. باستخدام هاتف إنكروتشات برقم تعريف شخصي معروف، اتصل الخادم المُعاد بناؤه بالهاتف التجريبي باستخدام شهادات أمان طبقة النقل (TLS) الأصلية لإنكروتشات. حجبت ‘إنفاسيس’ أسرار اختراقها الخاص، والثغرات التي استخدمتها، ولم تقل شيئًا عن كيفية خداعها للهاتف المستهدف لتشغيل برمجياتها الخبيثة.

بحلول ديسمبر 2024، كانت أسرار إنكروتشات والاختراقات الفرنسية مكشوفة. اكتشف الفريق التشيكي على الفور مكونات وثنائيات الزرع داخل جهاز LOGICALDEMON، ونسخها. وقاموا بالهندسة العكسية لكود الزرع المستخرج لتحديد وظائفه وقياس قوته. وبحلول أوائل عام 2025، قدرت ‘إنفاسيس’ أنها قامت بهندسة عكسية بنسبة 70% من البرمجيات الخبيثة.

تم العثور على ثلاث عمليات خفية مشبوهة تعمل باستمرار مع وصول مستخدم خارق (superuser) كامل. كان وحدة التحكم في زرع البرمجية الخبيثة تعمل باسم ‘com.android.device’ مع طابع زمني مرتبط. لا يستخدم أي تطبيق أندرويد حقيقي اسم ‘com.android.device’. وتم تحديد التطبيق الضار الفرنسي – الذي يُطلق عليه ‘base.apk’ – وتفكيكه. ووجد أن الزرع دائم، كما هو متوقع، وتم تعيينه للتشغيل بمجرد تشغيل أي جهاز مصاب. وفي كل مرة يبدأ، كان يشغل باد بايندر لتصعيد الامتيازات.

كان أهم مكونين للاختراق هما مكتبات وظائف وطرق أندرويد. نُشرت المكتبة الأولى، ‘librealm-jni.so’، بواسطة ‘ريلم’ (Realm) وسمحت للزرع بقراءة وكتابة وفحص جداول بيانات ‘ريلم’، التي تستخدمها إنكروتشات لتخزين الرسائل ومعلومات المستخدم. أما الثانية فكانت فريدا. وغير الزرع أيضًا نظام التشغيل لمنع رؤية ‘android.com.device’، وحظر تسجيل إجراءاته، ومنعه من الحذف – وكلها تكتيكات برمجيات خبيثة روتينية.

كشفت الهندسة العكسية أن فريدا كانت قلب الزرع الفرنسي. تستخدم فريدا من قبل باحثي الأمن والمتسللين على حد سواء لإجراء اختبارات قانونية أو لترتيب تدخل غير قانوني. تعمل فريدا كمستخدم خارق، ويمكنها تغيير كل شيء.

بالنسبة للمخترقين، فريدا هي برمجية تجسس أحلام. فهي تراقب التعليمات و’تعلق’ (hook) أي عملية داخل المعالج عن طريق ‘الربط من خلال معترض’. يؤدي التعليق إلى تشغيل ‘ترامبولين‘ (trampoline)، ينتقل من البرنامج المقصود إلى كود الاستغلال الذي كتبه المخترق. بعد انتهاء كود المخترق، تعود فريدا مرة أخرى، ولا تترك أي أثر لما حدث للتو.

وفقًا لـ’إنفاسيس’، كانت البرمجية الخبيثة الفرنسية غير متطورة للغاية، وتركت نفسها مكشوفة للكشف والنسخ والتحليل. وعلى وجه الخصوص، داخل حزمة تثبيت البرمجية الخبيثة، ‘base.apk’، كانت توجد مكتبة فريدة من الثغرات المسماة ‘libexploit’، مما يعطي إشارة واضحة على نية خبيثة.

على الرغم من افتقارها إلى التطور، أعطت مكتبة البرمجيات الخبيثة الجواسيس الإلكترونيين الفرنسيين وصولاً كاملاً إلى الهواتف المصابة، وفقًا لـ’إنفاسيس’. كان الزرع لديه القدرة على تعديل البيانات، وتغيير سلوك الهاتف، والسماح بالسيطرة على الهاتف عن بعد – وهي قدرات تتجاوز استخراج الرسائل. قال فرايلينغ: ‘من الواضح أن لديهم وصول الروت. يمكنهم فعل كل شيء. وهذا أمر طبيعي مع أحصنة طروادة الشرطية… ترى القوة الهائلة لمكتبات البرمجيات الخبيثة هذه’.

وأضاف فرايلينغ: ‘لا يوجد ما يشير إلى أن هذه القدرات قد استُخدمت على الإطلاق خلال عملية اختراق إنكروتشات في تقرير إنفاسيس. ولكن من المستحيل التحقق من ذلك. الشيء الوحيد الذي يمكنك فعله لزيادة الثقة هو وجود إجراءات شرطة شفافة’.

حددت ‘إنفاسيس’ أدلة على نشاط برمجيات خبيثة دائمة كلاسيكية. بعد الإصابة، بمجرد أن يقوم المستخدم بتشغيل هاتفه، يبدأ الزرع في العمل. لقد منع الهاتف من الدخول في وضع السكون، وأوقف التسجيل، وأوقف جدار الحماية الحيوي SELinux، وفتح جميع عمليات الهاتف لأي غرض. لقد اعترض ‘مارفن’ (Marvin)، نظام تسجيل إنكروتشات المخصص، لمنع المشغلين من رؤيته. ثم حاول منع الهواتف من أي تحديثات أصلية من إنكروتشات – التي كانوا يخشون أن تكون قد تضمنت إصلاحات لمنع باد بايندر.

بعد تشغيل باد بايندر، مُنحت فريدا امتيازات المستخدم الخارق غير المقيدة. ثم اتصل الزرع بالمركز الرئيسي، معلنًا عن إصابة جديدة ناجحة. كان المركز الرئيسي في هذه الحالة هو عنوان الإنترنت 147.135.143.19 (الموصوف أعلاه) الموجود في OVH روبيه.

من خلال هذا الرابط، حافظ خادم الشرطة على الاتصالات ويمكنه قيادة كل هاتف مصاب. إذا أرسل مركز القيادة ‘999’ أو ‘666’، أظهرت الاختبارات أن البرمجية الخبيثة ستمحو نفسها. لا يوجد دليل على أن هذه الأوامر أو تعليقات تحرير المحتوى قد استخدمت على الإطلاق. وفقًا لمصدر خبير في ‘كمبيوتر ويكلي’، طلب عدم الكشف عن اسمه، كان موظفو إنكروتشات أول من عكس الزرع، قبل إغلاق العمليات في يونيو 2020.

كان خادم البرمجية الخبيثة للشرطة هو أيضًا نقطة نهاية استخراج البيانات. اعتبارًا من 2 أبريل 2020 فصاعدًا، ومع إصابة المزيد والمزيد من الهواتف، تم إرسال سيل من مليارات الكائنات البيانية (JSONs) إلى بنية الشرطة التحتية. كان حجم البيانات المرسلة من الهواتف إلى عنوان الخادم الفريد، وفقًا لخبراء الأمن السيبراني، غير خفي ومحفوف بالمخاطر. كان أحد المخاطر الواضحة هو أن بعض مجموعات الجريمة لديها خبراء تقنيون قد يكتشفون بسهولة رسائل إضافية تخرج في كل مرة يتم فيها إنشاء صورة أو إرسال رسائل.

عند البدء، كان كل زرع ينسخ مفاتيح أمان الهاتف والصور المخزنة وقاعدة بيانات رسائل ‘ريلم’ الكاملة. وفي كل مرة يفتح المستخدم هاتفه، كانت فريدا تعلق كلمة مرور إلغاء القفل وترسلها. حدد الماسح الضوئي كل صورة مشفرة جديدة أنشأها المستخدم أو استلمها. وفي كل مرة يتم إنشاء رسالة جديدة، كانت تنسخ كما هو موضح، وغالبًا ما تصل إلى خادم الشرطة وتظهر على شاشات الشرطة في غضون ثوانٍ قليلة. حتى يوم السبت 13 يونيو 2020، كان المخترقون الفرنسيون قد نجوا من كل هذا.

وفقًا لمحامين بريطانيين يعملون في قضايا إنكروتشات، دفعت ‘إنفاسيس’ 2 مليون جنيه إسترليني للتحقيق والهندسة العكسية التي كشفت عن ثغرة البرمجيات الخبيثة، المستخدمة لاستخراج الرسائل من إنكروتشات، والمعروفة باسم ثغرة H. ورفضت ‘إنفاسيس’ الإجابة على أسئلة من ‘كمبيوتر ويكلي’ حول تكلفة أو نتائج تقريرهم. وقال متحدث باسمها: ‘لا يُسمح لنا بتقديم أي تصريحات’.

جدل خمس سنوات: اعتراض الاتصالات أم تداخل المعدات؟

قد يختتم اكتشاف ثغرة H جدلاً استمر خمس سنوات، وشهد ساعات طويلة من النقاش في المملكة المتحدة، بسبب عدم اليقين والسرية الفرنسية الشديدة. منذ عام 2021، أمل العديد من المحامين وخبراء الكمبيوتر البريطانيين في العثور على دليل على أن الرسائل قد أُخذت من منتصف نظام الاتصالات، مثل الخادم، وليس من الهواتف، حيث أن ذلك قد يعني ضرورة استبعاد الأدلة لأنها كانت اعتراضًا للاتصالات.

قال فرايلينغ: ‘لم ألاحظ أي أماكن [في التقرير] توجد فيها أدلة على أنهم أخذوا رسائل من الخوادم، ولا أي طريقة تم بها استخراج مادة المفتاح التشفيري اللازمة لفك تشفير الرسائل أثناء النقل’.

تحققت ‘إنفاسيس’ أيضًا من نظرية متطورة طرحها عام 2022 خبير أمن الكمبيوتر الراحل والمميز روس أندرسون، الأستاذ بجامعة كامبريدج. على الرغم من موافقته على أن رسائل إنكروتشات أثناء النقل كانت غير قابلة للكسر، إلا أن أندرسون تكهن بأن البرمجيات الخبيثة الفرنسية كان يمكن أن تخرب البرامج داخل الهواتف المصابة لجعل التشفير عديم الفائدة سرًا. هذه النظرية البديلة عنت التلاعب بنظام توليد الأرقام شبه العشوائية (PRNG)، وهو أمر بالغ الأهمية للأمن.

تحققت ‘إنفاسيس’ بدقة ولم تجد أي تلاعب ببيانات عشوائية أو شبه عشوائية، مضيفة أنه لم يكن هناك دليل على أن زرعًا غير مكتبة النظام المسؤولة. ووجد أن تطبيق PRNG في الهاتف المصاب لم يتم التلاعب به وكان كما هو مقدم، باستخدام حزم APK الأصلية من جوجل. لم تجد ‘إنفاسيس’ أي دليل على تعليقات فريدا أو نصوص برمجية تتلاعب بمولدات الأرقام العشوائية.

علق فرايلينغ، الذي نصح بشأن أول برمجية خبيثة للشرطة الألمانية اكتشفت عام 2011، بأن تجربته تظهر أن العثور على تشفير متطور على مستوى الجامعة في برمجيات إنفاذ القانون ليس أمرًا معتادًا. على الرغم من أن اعتراض وفك تشفير الرسائل المشفرة من الخادم سيكون حلاً أكثر أناقة وخفية، إلا أنه ليس ممارسة قياسية. وقال: ‘جميع برمجيات الشرطة الخبيثة التي فحصتها لا تفعل ذلك. إنهم ينسخون البيانات ببساطة من الأجهزة النهائية ولا يكلفون أنفسهم عناء فك تشفير نسخ الشبكة’.

حكمت محكمة الاستئناف في المملكة المتحدة بأن الرسائل قد أُخذت من التخزين، مما يعني في رأيها أن البرمجية الخبيثة الفرنسية لم تكن اعتراضًا بل تداخلًا في المعدات، مما يجعل البيانات الفرنسية مقبولة كدليل.

ستُناقش القضايا المثارة هذا الأسبوع في المؤتمر الدولي السنوي السادس والأربعين للتشفير، ‘كريبتو 2026’ (Crypto 2026)، في سانتا باربرا، كاليفورنيا. وسيشير فريق أمريكي-بريطاني إلى أن التمييز بين التداخل في المعدات واعتراض الاتصالات أدى إلى نقاش مفصل، وإن كان غالبًا غير مؤكد أو تخميني، حول جوانب معينة لكيفية عمل البرمجية الخبيثة.

سيخبر الفريق، بقيادة مارتن ألبريخت، الأستاذ في كينغز كوليدج لندن، مئات الخبراء الدوليين أن السرية القصوى حول الحل التقني الفرنسي قد تسببت، حتى الآن، في مشاكل في الإجراءات القانونية اللاحقة، وجعلت من الأصعب، إن لم يكن المستحيل، تقديم دفاع شامل.

لكن الاختراق الفرنسي على مستوى الطلاب، والذي نُسخ في الغالب من الإنترنت، أصبح الآن مكشوفًا، بما في ذلك كيفية عمله.

آلية عمل الاختراق: كيف وصلت الرسائل إلى الشرطة

يوضح هذا الجزء كيفية عمل الاختراق. هاتف أليس مصاب بالزرع الفرنسي. يتم إدخال تعليق (Frida hook) داخل النشاط في تطبيق الدردشة الخاص بأليس – ‘com.esocrypt.chat.app.im’. ترسل أليس رسالة دردشة إلى بوب. بعد بدء الإرسال، يقوم التعليق بتشغيل ترامبولين (trampoline) الذي يتسبب في تشغيل برمجية خبيثة تُدعى ‘ثغرة H’ (Exploit H). تقوم ثغرة H بنسخ الرسالة التي يتم إرسالها قبل أن يتم تخزينها وتضيف معلومات مخزنة محليًا حول بوب تُسمى ‘contract_extra’. تقوم آلية توزيع البرمجية الخبيثة بتعبئة وإرسال النسخة المعترضة إلى فريق الشرطة السيبرانية الفرنسي C3N قبل أن تُرسل رسالة أليس إلى بوب، المستلم المقصود.

عُثر على البرمجيات الخبيثة الفرنسية، التي وصفها الباحثون التشيك بأنها غير متطورة وغير محمية، داخل هاتف إنكروتشات تم ضبطه من تاجر في لندن كان يستخدم الاسم المستعار LOGICALDEMON.

كشفت الهندسة العكسية بالاشتراك مع تحليل الخبراء للمواد المعترضة كيف تمكن الجواسيس الإلكترونيون الفرنسيون في عام 2020 من اختراق عشرات الآلاف من الهواتف المشفرة الآمنة.

حدد الباحثون في شركة البرمجيات الخبيثة التشيكية ‘إنفاسيس’، ومقرها في برنو، الثغرات المحددة المستخدمة لنسخ الرسائل والبيانات غير المشفرة من داخل الهواتف المصابة. واستعادوا ستة تعليقات – سُميت بوقاحة ‘ثغرات استغلال’ – تحمل تسميات من Exploit_c إلى Exploit_h.

تم تسمية ثغرة H (Exploit_h)، التي وُجد أنها تستهدف الرسائل، باسم ‘Java_com_android_device_Exploit_h’. واستُخدمت تعليمات أداة فريدا (Frida)، ‘interceptor.attach’، لإنشاء تعليق داخل تطبيق الدردشة، الذي يُطلق عليه ‘com.esocrypt.chat.app.im’. كانت الفريسة التي علقتها هذه الأداة هي تعليمات تُدعى ‘nativeCreateNewObjectWithStringPrimaryKey’. كانت هذه الوظيفة تُعد سطرًا فارغًا جديدًا لـ’ريلم’ (Realm)، وهي قاعدة بيانات الرسائل التي تستخدمها هواتف إنكروتشات. اكتشاف هذا الأمر يعني أن رسالة جديدة قادمة أو يجري إرسالها. باستخدام ترامبولين (trampoline)، وهو كود آلة منخفض المستوى، نقلت فريدا التحكم إلى ثغرة H التي استُعيدت بواسطة الهندسة العكسية.

بصيغته المستعادة، وباستثناء الكلمات التي أبرزتها ‘كمبيوتر ويكلي’، فإن الكود يصعب تتبعه حتى على المبرمجين ذوي الخبرة. أظهر كود الثغرة المهندس عكسيًا جزئيًا أدلة على التعتيم باستخدام أداة عامة أخرى. وقد كُتبت تسميات الوظائف الهامة المفككة باللغة التشيكية، وليس الإنجليزية.

الكود هو دليل قاطع على كيفية نسخ الرسائل. والأهم من ذلك، على الرغم من التعتيم، فإن الكلمات المبرزة لا تتغير. بالنسبة للصحفيين، هي اقتباسات. وبالنسبة للمبرمجين، هي حرفية نصية (string literals). أهميتها تكمن في أن الاقتباسات أو الحرفيات الموجودة داخل الهاتف المصاب تتطابق تمامًا وهي نفس الاقتباسات أو الحرفيات، وتتضمن حتى نفس الخطأ، كما هو الحال في جميع الرسائل المعترضة التي أُرسلت إلى الشرطة البريطانية واستخدمت في الملاحقات القضائية. أحد الأمثلة هو اسم التطبيق المستهدف، ‘com.esocrypt.chat.app.im’، في ثلاثة أسطر من النهاية.

من خلال استكمال فك التعتيم وإعادة بناء كود فريدا الأكمل، طورت SCLT و’كمبيوتر ويكلي’ إثبات مفهوم لتكرار ومطابقة رسالة تم إنشاؤها وإرسالها من الزرع الذي فحصته ‘إنفاسيس’ مع الرسالة الفعلية التي نُسخت من الجهاز وأُرسلت إلى المملكة المتحدة عبر روبيه وبوانتواز (C3N) وبروكسل (يوروبول).

وفقًا لفرايلينغ، ‘البيانات التي تلقتها الشرطة ووزعت عبر يوروبول لها نفس الشكل الذي تم هندسته عكسيًا بواسطة إنفاسيس – لذا فمن المحتمل أنها أنتجت بواسطة هذا الكود’.

لكن الجزء الذي شوهد لا يمكنه تفسير عدم موثوقية الزراعات على نطاق واسع. وأضاف فرايلينغ: ‘هندسة عكسية أكثر شمولاً للكود… يمكن أن تطور كودًا يحاكي السلوك الحقيقي… وتوفر إمكانيات جديدة لشرح عدم موثوقيتها’.

مما يثير الدهشة، خطأ بسيط ومعترف به من قبل المخترقين الفرنسيين، معروف منذ ست سنوات، يتم تفسيره بواسطة الكود المهندس عكسيًا الموضح أعلاه. بعد شهرين من انتهاء العملية، اشتكى العديد من محققي الشرطة في المملكة المتحدة من أن بعض بيانات المكالمات لم تكن منطقية. في 20 أغسطس 2020، اعترف مسؤول من C3N بالخطأ، لكنه حذر من أنه ‘لن يتم تقديم أي تفسير تقني، حيث أن أداة التقاط البيانات المستخدمة لهذه العملية تخضع لسرية الدفاع الوطني، ولا يمكن الكشف عن تفاصيلها دون التعرض للملاحقة الجنائية’. كان تأثير الخطأ هو أن ‘إلى’ (to) تعني في الواقع ‘من’ (from). وكان السبب – الذي يُزعم أن الكشف عنه جريمة – هو حذف الكلمات ‘outgoing_call’ في الكود أعلاه.

عندما حاولت ‘كمبيوتر ويكلي’ التحقق من كود فريدا الحاسوبي لإثبات المفهوم باستخدام أداة كلود سونيت LLM واسعة الاستخدام، كان تقييمها لا لبس فيه ومباشرًا. قالت كلود: ‘لا يمكنني المساعدة في كتابة هذا التعليق المحدد’، وحددت النص البرمجي أعلاه بأنه ‘وظيفيًا أداة لاعتراض رسائل شخص آخر الخاصة… الشكل الدقيق لاعتراض الاتصالات’.

تُسلط هذه الاكتشافات الضوء على تعقيدات عالم التجسس السيبراني وتداعياته القانونية والأخلاقية. فمع استمرار التطور التكنولوجي، تزداد الحاجة إلى الشفافية والمساءلة لضمان العدالة والحفاظ على حقوق الأفراد في العصر الرقمي.