公民實(shí)驗(yàn)室(Citizen Lab)的一項(xiàng)新調(diào)查顯示，政府使用FinFisher軟件的數(shù)量開始上升。在過(guò)去的幾年里，該實(shí)驗(yàn)室的研究人員一直在監(jiān)控集權(quán)政府對(duì)類似監(jiān)控軟件的使用。

FinFisher軟件簡(jiǎn)介

研究人員跟蹤服務(wù)器的物理定位發(fā)現(xiàn)，它們受控于德國(guó)某公司的FinFisher GmbH基礎(chǔ)設(shè)施。這套基礎(chǔ)設(shè)施旨在涵蓋操作者和黑客的身份，F(xiàn)inFisher主控服務(wù)器稱為FinSpy Master，而中繼服務(wù)器稱為FinSpy Relays，他們是作為CC攻擊的命令控制端。

FinFisher軟件一旦感染目標(biāo)機(jī)，會(huì)與中繼服務(wù)器通信，作為一個(gè)終端節(jié)點(diǎn)連接到主服務(wù)器。

FinFisher監(jiān)控系統(tǒng)

公民實(shí)驗(yàn)室的專家使用了Zmap掃出了135臺(tái)服務(wù)器，其中包括FinSpy Master和FinSpy Relays。專家解釋道，只有主服務(wù)器通常部署在用戶那里，中繼服務(wù)器可以位于其他位置。

公民實(shí)驗(yàn)室發(fā)出了一份報(bào)告：

“在2014年-2015年間，通過(guò)在FinFisher樣本中提取的指紋信息，我們采用Zmap掃描了整個(gè)IPV4網(wǎng)絡(luò)段。最終，我們得到了135臺(tái)匹配的指紋，我們可以肯定它們是FinSpy Masters和FinSpy Relays。”

有趣的是，對(duì)用于保護(hù)主服務(wù)器身份的中繼服務(wù)器的分析，讓公民實(shí)驗(yàn)室的人發(fā)現(xiàn)了主控服務(wù)器的位置。

FinFisher地址的泄露

如果有人試圖用普通瀏覽器訪問(wèn)某個(gè)FinSpy Relay，它會(huì)給你提供一個(gè)偽造的頁(yè)面，通常是Google.com或者Yahoo.com。如果偽造的頁(yè)面為Google，你查詢my ip address，它會(huì)給你回顯FinSpy Master的真實(shí)地址。

公民實(shí)驗(yàn)室還表示：

“盡管FinFisher服務(wù)器的偽造頁(yè)面大部分都是Google.com或者Yahoo.com，我們?nèi)匀话l(fā)現(xiàn)了一些有意思的東西。FinSpy Relays取得的是從FinSpy Master上面返回的偽造內(nèi)容，所以在不少案例中，里面的數(shù)據(jù)包是FinSpy Master的定位數(shù)據(jù)。比如這些頁(yè)面可能會(huì)嵌入服務(wù)器的IP和當(dāng)?shù)氐奶鞖?，這會(huì)泄露FinSpy Masters的定位數(shù)據(jù)。”

在偽造的Yahoo頁(yè)面中，公民實(shí)驗(yàn)室還使用了另一種方法來(lái)獲取FinSpy Master的定位。事實(shí)上，雅虎會(huì)用它來(lái)在主頁(yè)上顯示自定義的天氣信息和新聞，WEB頁(yè)面的源碼因此泄露了FinSpy Masters的定位數(shù)據(jù)。

公民實(shí)驗(yàn)室的專家強(qiáng)調(diào)，服務(wù)器返回偽造頁(yè)面的數(shù)量隨著時(shí)間的推移正在下降，研究人員在32個(gè)國(guó)家發(fā)現(xiàn)了FinFisher用戶。據(jù)上一次的分析，通過(guò)偽造內(nèi)容指紋掃描，能在16個(gè)國(guó)家里識(shí)別出FinFisher用戶。最新發(fā)現(xiàn)的國(guó)家以及地區(qū)有：安哥拉、埃及、加蓬、約旦、哈薩克斯坦、肯尼亞、黎巴嫩、摩洛哥、阿曼、巴拉圭、沙特阿拉伯、斯洛文尼亞、西班牙、臺(tái)灣、土耳其和委內(nèi)瑞拉。

在某些特定的情況下，專家能根據(jù)特定的IP地址標(biāo)識(shí)跟蹤到政府辦公室。去年，政府FinFisher系統(tǒng)曾被攻擊，黑客放出了約40GB的數(shù)據(jù)。