HackingTeam

HackingTeam
Rechtsform	Società a responsabilità limitata
Gründung	2003
Auflösung	2020
Sitz	Mailand
Website	www.hackingteam.it

HackingTeam war ein in Mailand gegründetes Unternehmen für Informationstechnik, das Software zur Überwachung und Intrusion an Regierungen, Strafverfolgungsbehörden und Unternehmen verkaufte.^[1] Deren „Remote Control Systems“ erlaubte es, Kommunikationen von Internetnutzern zu überwachen, verschlüsselte Dateien und E-Mails zu entschlüsseln, Skype und andere IP-Telefonie aufzuzeichnen, sowie Mikrofone und Kameras auf den Zielgeräten zu aktivieren.^[2] Die Firma wurde dafür kritisiert, diese Technik Ländern mit geringer Menschenrechtsbilanz zu ermöglichen, obwohl HackingTeam sagte, dass sie die Möglichkeit hätten, die Nutzung der Software zu unterbinden, falls diese unethisch genutzt werde.^[3][4] Die italienische Regierung schränkte daraufhin die Erlaubnis, Geschäfte mit Ländern außerhalb Europas zu machen, ein.^[5]

HackingTeam beschäftigte etwa 40 Personen in ihrer italienischen Geschäftsstelle. Zudem hatte sie Niederlassungen in Annapolis (Maryland), Washington, D.C. und Singapur.^[6] Ihre Produkte wurden in dutzenden Ländern auf sechs Kontinenten genutzt.^[7]

HackingTeam wurde von den zwei italienischen Programmierern Alberto Ornaghi und Marco Valleri gegründet. Vor der offiziellen Gründung haben Ornaghi und Valleri (unter ihren Nicknamen ALoR und NaGA) eine Reihe von Software entwickelt, welche zur Überwachung und Fernsteuerung von Computern genutzt werden konnte. Das Programm Ettercap wird sowohl von Hackern zur Ausspähung von Menschen als auch von Firmen genutzt, die damit ihre eigenen Netzwerke testen.

Die Mailänder Polizei lernte aus den Programmen. In der Hoffnung, Ettercap zur Spionage und Überwachung von Skype-Gesprächen italienischer Bürger nutzen zu können, kontaktierte die Polizei Ornaghi und Valleri und fragte nach Unterstützung bei der Modifikation des Programms. Damit war HackingTeam geboren und wurde „der erste Verkäufer kommerzieller Hackingsoftware an die Polizei.“^[7]

Laut des früheren Mitarbeiters Alberto Pelliccione begann die Firma als Anbieter von Sicherheitsdiensten. Sie boten Klienten Penetrationstests, Systemprüfungen und andere defensive Sicherheitsmethoden.^[8] Pelliccioe erklärte, dass mit der Entwicklung und Verbreitung von Malware und anderen Programmen, die Firma eine offensivere Richtung einschlug und sich in mehreren Bereichen unterteilte. Pellicone behauptete, dass Mitarbeiter, die in verschiedenen Aspekten einer Plattform – z. B. Android Exploits und Malware – arbeiteten, sich nicht miteinander austauschten, was teilweise zu Spannungen und Konflikten innerhalb der Organisation führte.^[8]

Im Februar 2014 wurde durch einen Bericht von Citizen Lab bekannt, dass die Firma Hostingdienste von Linode, Telecom Italia, Rackspace, NOC4Hosts und der berüchtigten Hosting-Firma Santrex nutzte.^[9]

Am 5. Juli 2015 erlag die Firma einer großen Datenpanne, bei der Nutzerdaten, Programmcode, interne Dokumente und E-Mails veröffentlicht wurden.

Dieser Imageverlust sorgte für einen finanziellen Einbruch der Firma. 2016 übernahm die in Zypern ansässige Firma Tablem Limited 20 % der Anteile von HackingTeam. Es wird vermutet, dass die Regierung Saudi-Arabiens hinter Tablem Limited steht.^[10]

Im April 2019 wurde HackingTeam zu großen Teilen durch die Überwachungsfirma InTheCyber aufgekauft und unter dem Namen Memento Labs zusammengeführt.^[11]

Vincenzetti erklärte HackingTeam im Mai 2020 auf LinkedIn für tot.^[12] Auch Internetseiten des Unternehmens sind seither nicht mehr aufrufbar.

HackingTeam ermöglichte es Kunden, mit ihren RCS (Remote Control Systems) Remote-Desktop-Überwachung an Bürgern durchzuführen. Dazu gehörten ihre Programme Da Vinci und Galileo.^[1] Sie ermöglichten:

• Verdecktes Sammeln von E-Mails, SMS, Anrufverlauf und Adressbüchern
• Keylogger
• Enthüllen von Suchverläufen und die Aufnahme von Screenshots
• Aufzeichnen von Tondateien während Telefongesprächen

• Direktes Aufnehmen eines Audio- und Videostreams aus dem Arbeitsspeicher, um die Verschlüsselung von Skype-Sitzungen zu umgehen^[13]
• Verwendung von Mikrofonen, um Geräusche und Gespräche im Raum zu erfassen

• Aktivierung von Computer- und Handykameras
• Hacken des GPS-Systems eines Smartphones, um die Bewegungen des Opfers zu überwachen
• Infizierung der UEFI-BIOS-Firmware mit einem Rootkit^[14]
• Auslesen von W-LAN-Passwörtern^[15]
• Durchsuchen von Bitcoinwallets und Wallets anderer Kryptowährungen, um Daten über Accounts, Kontakte und vergangene Transaktionen zu ermitteln.^[16]

HackingTeam verwendete spezielle Techniken, um ein schnelles Entladen von Smartphoneakkus zu vermeiden und andere Methoden, um eine Entdeckung zu unterbinden.^[17][18]

Die Malware verfügte über Payloads für Android, Blackberry, Apple iOS, Linux, macOS, Symbian, als auch für Windows, Windows Mobile und Windows-Phone-Betriebssystemen.^[19]

RCS ist eine Managementplattform, die es Anwendern erlaubt, ferngesteuert Exploits und Payloads gegen anzugreifende Systeme anzuwenden, gehackte Systeme zu verwalten und Daten für eine Fernanalyse auszulesen.

Auch nach der Übernahme und Fusionierung in Memento Labs wurde diese Software nicht mehr wesentlich weiterentwickelt und befindet sich deshalb auf dem Stand von 2015.^[11]

HackingTeam wurde dafür kritisiert, ihre Produkte und Dienstleistungen an Regierungen mit geringem Menschenrechtsindex, wie Sudan, Bahrain, Venezuela und Saudi-Arabien zu verkaufen.^[20]

Im Juni 2014 verlangte eine Kommission der Vereinten Nationen zur Überwachung der Sanktionen an Sudan Informationen von HackingTeam über deren mutmaßlichen Verkauf von Software an das Land, entgegen dem Waffenexportverbot der Vereinigten Staaten für Sudan. Dokumente, die während der Datenpanne 2015 veröffentlicht wurden, enthüllten, dass die Organisation dem sudanesischen Geheimdienst und Sicherheitsservice im Jahr 2012 für 960.000 € Zugang zum „Remote Control System“ ermöglichte.^[21]

Die Firma antwortete im Januar 2015 auf die Kommission der Vereinten Nationen, dass sie derzeit nicht an den Sudan verkauften. Im nachfolgenden Austausch behauptete HackingTeam, dass deren Produkt nicht als Waffe kontrolliert wurde und die Anfrage deshalb außerhalb des Wirkungsbereichs der Kommission lag. Sie mussten keine vorhergehenden Verkäufe offenlegen, da sie das als Geschäftsgeheimnis angaben.^[20][22]

Die Vereinten Nationen widersprachen „Nach Ansicht des Ausschusses ist, dass solche Programme zur Unterstützung elektronischer militärischer Überwachungseinsätzen (ELINT) bestens geeignet ist und es potentiell unter die Kategorie 'militärisches … Equipment' oder 'Unterstützung' mit Verbindung zu verbotenen Gegenständen fallen kann“ schrieb der Minister im März. „Durch die potentielle Nutzung zum Angriff jeglicher kriegstreibender Gruppen im Dafurkonflikt, ist es im Interesse der Kommission.“^[23]

Im Herbst 2014 legte die italienische Regierung abrupt alle Exporte von HackingTeam auf Eis, da sie Verstöße gegen die Menschenrechte befürchteten. Nach einiger Lobbyarbeit bei italienischen Funktionären gewann die Firma vorübergehend das Recht zurück, ihre Produkte im Ausland zu verkaufen.^[20]

Am 5. Juli 2015 wurde der Twitteraccount der Firma von einer unbekannten Person gekapert, die darüber die Veröffentlichung der Daten der Computer von HackingTeam ankündigte. Die ursprüngliche Nachricht lautete „Da wir nichts zu verbergen haben, veröffentlichen wir all unsere E-Mails, Dateien und Quellcodes ...“ und beinhaltete Links zu über 400 GB Daten mit angeblich internen E-Mails, Rechnungen und Quellcode, welche über BitTorrent und Mega veröffentlicht wurden.^[24] Eine Ankündigung der Datenpanne wurde durch WikiLeaks und viele Andere in sozialen Netzwerken retweetet.^[25]

Das Material war sehr umfangreich und erste Analysen schienen aufzudecken, dass HackingTeam Rechnungen an die libanesische Armee sowie den Sudan ausstellte und Überwachungssoftware an Bahrain und Kasachstan verkauft wurden. HackingTeam hatte zuvor behauptet, niemals Geschäfte mit dem Sudan getätigt zu haben.^[26]

Die veröffentlichten Daten beinhalteten einen plattformübergreifenden Zero-day-Flash-Exploit.^[27] Der Auszug beinhaltete ein Demo dieses Exploits, welches den Windows-Taschenrechner von einer Testseite aus öffnen konnte.^[28][29][30] Adobe schloss die Sicherheitslücke am 8. Juli 2015.^[31] Außerdem wurde in den Daten eine weitere Sicherheitslücke von Adobe ausgenutzt, welche eine Pufferüberfluss-Attacke auf Adobes Open-Type-Manager-DLL ausnutzte, welches Teil von Windows ist. Die DLL wird im Kernel-Modus ausgeführt, weshalb die Attacke zur Rechteausweitung zur Umgehung der Sandbox genutzt werden konnte.^[32]

In den veröffentlichten Daten wurde auch offenbart, dass Mitarbeiter von HackingTeam schwache Passwörter, wie 'P4ssword', 'wolverine', und 'universo' verwendeten.^[33]

Nach ein paar Stunden ohne Reaktion von HackingTeam tweetete der Nutzer Christian Pozzi, dass die Firma eng mit der Polizei zusammen arbeite und meinte „vieles von dem, was die Hacker über unsere Firma behaupten, ist unwahr.“^[3] Er behauptete auch, dass das veröffentlichte Archiv „einen Virus enthält“ und es sich um Falschinformationen handelt.^[3] Kurz nach diesen Tweets wurde auch Pozzis Twitteraccount gehackt.^[34]

Die Verantwortung für diesen Angriff beanspruchte ein Hacker namens „Phineas Fisher“ (oder Phisher) über Twitter. Phineas hatte vorher die Überwachungssoftwarefirma Gamma International, welche auch Malware, wie FinFisher, für Regierungen und Firmen produziert, angegriffen.^[35] 2016 veröffentlichte Phineas Details des Hacks in Spanisch und Englisch als Anleitung für andere, in der er auch die Gründe seines Angriffs erklärt.^[36]

Die internen Dokumente deckten HackingTeams Verträge mit repressiven Regierungen auf.^[37] Daraufhin entzog die italienische Regierung 2016 die Lizenz der Firma, ohne Sondergenehmigungen Überwachungssoftware außerhalb Europas zu verkaufen.^[5][38]

Zu den Kunden von HackingTeam zählten nicht nur Regierungen, sondern auch Firmen, wie die Barclays Bank und die British Telecom aus Großbritannien, als auch die Deutsche Bank.^[1]

Eine vollständige Liste an Kunden von HackingTeam wurde im Datenleck 2015 veröffentlicht. Die enthüllten Dokumente zeigen, dass HackingTeam 70 aktuelle Kunden hatte, die hauptsächlich aus Militär, Polizei, Bundes- und Landesregierungen bestanden. Die enthüllten Gesamteinkünfte der Firma überstiegen 40 Millionen Euro.^{[39][40][41][42][43][44]}

• FinFisher

• Offizielle Website
• WikiLeaks: The Hackingteam Archives – durchsuchbare Datenbank mit 1 Million internen E-Mails
• HackingTeam Präsentationen in den WikiLeaks „Spy Files“