Tailored Access Operations

המשרד למבצעי גישה מותאמת (Office of Tailored Access Operations, או בקיצור TAO), שמבנהו הארגוני הוא S32, הוא יחידת לוחמת סייבר ואיסוף מודיעין של הסוכנות לביטחון לאומי (NSA) של ארצות הברית. היחידה פעילה לפחות מאז 1998, וככל הנראה אף מ-1997, אך היא לא נקראה או אורגנה רשמית כ-TAO עד "הימים האחרונים של שנת 2000", לדברי הגנרל מייקל היידן.

תפקידה של TAO הוא לאתר, לנטר, לחדור ולאסוף מודיעין ממערכות מחשב המשמשות גופים זרים לארצות הברית.

רקע והיסטוריה

על פי דיווחים, TAO היא "המרכיב הגדול והחשוב ביותר במנהלת מודיעין האותות (SID) העצומה של ה-NSA". היחידה מונה למעלה מ-1,000 אנשי צבא ואזרחים, ובהם האקרים, אנליסטים של מודיעין, מומחי תקיפה, מפתחי חומרה ותוכנה ומהנדסי חשמל. כיום, שמו הרשמי של המשרד הוא "המשרד למבצעי רשתות מחשבים" (Office of Computer Network Operations - OCNO).

הדלפת סנודן

מסמך שהודלף על ידי עובד ה-NSA לשעבר, אדוארד סנודן, מתאר את עבודת היחידה ומציין כי ברשותה תבניות תוכנה (templates) המאפשרות לה לפרוץ לציוד חומרה נפוץ, כולל "נתבים, מתגים וחומות אש (firewalls) ממגוון קווי מוצרים של יצרנים שונים". מהנדסי TAO מעדיפים לחדור לרשתות תקשורת שלמות ולא למחשבים בודדים, מכיוון שברשת אחת קיימים בדרך כלל התקנים רבים.

מבנה ארגוני

מטה TAO, המכונה "מרכז המבצעים המרוחקים" (Remote Operations Center - ROC), ממוקם במטה ה-NSA בפורט מיד, מרילנד. עם השנים, היחידה התרחבה ופתחה שלוחות נוספות ב-NSA הוואי (וואהיאווה, אואהו), NSA ג'ורג'יה (פורט גורדון), NSA טקסס (בסיס סן אנטוניו המשותף) ו-NSA קולורדו (בסיס חיל החלל באקלי, דנוור).

מבנה היחידה כולל מספר ענפים ומחלקות:

• S321 – מרכז המבצעים המרוחקים (ROC): מעסיק כשש מאות עובדים שאוספים מידע מרחבי העולם.
• S323 – ענף טכנולוגיות רשתות נתונים (DNT): מפתח רוגלות (spyware) אוטומטיות.
  • S3231 – מחלקת גישה (ACD)
  • S3232 – מחלקת טכנולוגיית רשתות סייבר (CNT)
  • S3234 – מחלקת טכנולוגיית מחשבים (CTD)
  • S3235 – מחלקת טכנולוגיית רשתות (NTD)
• ענף טכנולוגיות רשתות תקשורת (TNT): פועל לשיפור שיטות פריצה לרשתות ולמחשבים.
• ענף טכנולוגיות תשתית למשימה: מתפעל את התוכנות שפותחו על ידי הענפים האחרים.
• S328 – ענף מבצעי טכנולוגיות גישה (ATO): על פי דיווחים, ענף זה כולל אנשי צוות המושאלים מה-CIA וה-FBI. הם מבצעים מה שמתואר כ"פעולות מחוץ לרשת" (off-net operations), כלומר, הם מתאמים עם סוכני CIA שתילה חשאית של התקני האזנה במחשבים ובמערכות תקשורת מעבר לים, כדי שהאקרים של TAO יוכלו לגשת אליהם מרחוק מפורט מיד. כמו כן, נעשה שימוש בצוללות המצוידות במיוחד, כיום ה-USS Jimmy Carter, כדי להאזין לכבלי סיבים אופטיים תת-ימיים ברחבי העולם.
  • S3283 – מבצעי גישה משלחתית (EAO)
  • S3285 – מחלקת התמדה (Persistence)

מיקומים וירטואליים

פרטים על תוכנית בשם QUANTUMSQUIRREL מצביעים על יכולתה של ה-NSA להתחזות לכל כתובת IP (מארח IPv4 או IPv6) הניתנת לניתוב. יכולת זו מאפשרת למחשב של ה-NSA לייצר אישורי מיקום גאוגרפי וזיהוי אישי כוזבים בעת גישה לאינטרנט.

הנהגה

בין השנים 2013 ל-2017, ראש TAO היה רוב ג'ויס (Rob Joyce), עובד ותיק בסוכנות שעבד קודם לכן במנהלת אבטחת המידע (IAD) שלה. בינואר 2016, הופיע ג'ויס בהופעה פומבית נדירה, והעביר מצגת בכנס Enigma של Usenix.

קטלוג ANT של ה-NSA

קטלוג ANT של ה-NSA הוא מסמך מסווג בן 50 עמודים המפרט טכנולוגיות העומדות לרשות יחידת TAO, אשר פותחו על ידי "החטיבה לטכנולוגיית רשת מתקדמת" (Advanced Network Technology - ANT) כדי לסייע בפעולות ריגול סייבר. רוב ההתקנים המתוארים בקטלוג כבר מבצעיים וזמינים לאזרחי ארה"ב ולחברות בברית "חמש העיניים" (Five Eyes). על פי השבועון הגרמני "דר שפיגל", שפרסם את הקטלוג לציבור ב-30 בדצמבר 2013, "הרשימה נראית כמו קטלוג להזמנות בדואר, שממנו יכולים עובדי NSA אחרים להזמין טכנולוגיות מחטיבת ANT כדי להאזין לנתונים של מטרותיהם". המסמך נוצר בשנת 2008. חוקר האבטחה ג'ייקוב אפלבאום נשא נאום בקונגרס התקשורת של כאוס (Chaos Communications Congress) בהמבורג, גרמניה, ובו פירט טכניקות מהקטלוג שנחשפו במאמר ב"דר שפיגל" שהיה שותף לכתיבתו.

מתקפות QUANTUM

יחידת TAO פיתחה חבילת תקיפה בשם QUANTUM. היא מסתמכת על נתב שנפרץ מראש ומשכפל תעבורת אינטרנט, בדרך כלל בקשות HTTP, כך שהיא נשלחת הן ליעד המקורי והן לאתר של ה-NSA (באופן עקיף). אתר ה-NSA מריץ תוכנה בשם FOXACID, השולחת בחזרה אקספלויטים (exploits) הנטענים ברקע בדפדפן האינטרנט של המטרה, עוד לפני שהאתר הלגיטימי מספיק להגיב. מתקפה מסוג זה היא ממשפחת מתקפות "אדם באמצע" (man-in-the-middle), אך מכונה באופן ספציפי יותר "מתקפת אדם בצד" (man-on-the-side). קשה לבצע מתקפה כזו ללא שליטה על חלקים מעמוד השדרה של האינטרנט.

אם הדפדפן של המטרה פגיע, מושתלים במחשב שתלים (implants) קבועים נוספים, כגון רוטקיטים (rootkits). לדוגמה, שתל בשם OLYMPUSFIRE המיועד למערכת ההפעלה Windows ומעניק גישה מרחוק מלאה למכונה הנגועה.

ל-FOXACID יש יכולת לנצל שירותים רבים, ובהם שירותי גוגל (כולל Gmail), באמצעות שיתוף פעולה עם מטה התקשורת הממשלתי של בריטניה (GCHQ) במסגרת מבצע MUSCULAR. איתור מכונות פגיעות וכדאיות לתקיפה נעשה באמצעות מאגרי מידע אנליטיים כמו XKeyscore. שיטה ספציפית לאיתורן היא יירוט תעבורת דיווחי שגיאות של Windows, אשר מתועדת ב-XKeyscore.

יעדים ושיתופי פעולה

בין היעדים החשודים, הנטענים והמאושרים של יחידת TAO נכללים גופים לאומיים ובינלאומיים כמו סין, האוניברסיטה הפוליטכנית הצפון-מערבית בסין, ארגון אופ"ק ומזכירות הביטחון הציבורי של מקסיקו.

הקבוצה תקפה גם רשתות תקשורת גלובליות באמצעות SEA-ME-WE 4 – מערכת כבלי תקשורת אופטיים תת-ימיים המעבירה תקשורת בין סינגפור, מלזיה, תאילנד, בנגלדש, הודו, סרי לנקה, פקיסטן, איחוד האמירויות הערביות, ערב הסעודית, סודאן, מצרים, איטליה, תוניסיה, אלג'יריה וצרפת.

טכנולוגיית QUANTUM INSERT של TAO הועברה לשירותי המודיעין של בריטניה, ובמיוחד ליחידת MyNOC של ה-GCHQ, שהשתמשה בה כדי לתקוף את חברת התקשורת הבלגית Belgacom וספקי שירותי נדידת נתונים (GRX) כמו Comfone, Syniverse ו-Starhome. חברת Belgacom, המספקת שירותים לנציבות האירופית, לפרלמנט האירופי ולמועצה האירופית, גילתה את המתקפה.

בתיאום עם ה-CIA וה-FBI, יחידת TAO משמשת ליירוט מחשבים ניידים הנרכשים באינטרנט. המחשבים מועברים למחסנים סודיים, שם מותקנים בהם רוגלות ורכיבי חומרה, ולאחר מכן הם נשלחים ללקוחות. כמו כן, היחידה תקפה גם את רשת Tor ואת דפדפן Firefox.

על פי מאמר משנת 2013 ב-Foreign Policy, יחידת TAO "הפכה למיומנת יותר ויותר במשימתה, בין השאר בזכות שיתוף הפעולה החשאי ברמה גבוהה שהיא מקבלת מ'שלוש הגדולות' של חברות התקשורת האמריקאיות (AT&T, Verizon ו-Sprint), מרוב ספקי האינטרנט הגדולים בארה"ב, ומחברות רבות מהשורה הראשונה בתחום תוכנות אבטחת המחשב וחברות הייעוץ". מסמך תקציב של TAO משנת 2012 טוען כי חברות אלה, לבקשת היחידה, "שותלות נקודות תורפה במערכות הצפנה מסחריות, מערכות IT, רשתות והתקני קצה המשמשים מטרות". מספר חברות אמריקאיות, כולל סיסקו ודל, פרסמו בהמשך הצהרות פומביות המכחישות כי הן שותלות "דלתות אחוריות" כאלה במוצריהן. מיקרוסופט, לעומת זאת, מספקת ל-NSA התראה מוקדמת על פרצות אבטחה שהיא מגלה, עוד לפני שתיקונים או מידע על פרצות אלו זמינים לציבור. הדבר מאפשר ל-TAO לבצע מה שמכונה "מתקפות יום אפס" (zero-day attacks). גורם רשמי במיקרוסופט, שסירב להזדהות, אישר כי נוהג זה אכן קיים, אך טען כי לא ניתן להטיל על מיקרוסופט אחריות על האופן שבו ה-NSA משתמשת במידע המוקדם.

---

מקור: ויקיפדיה https://en.wikipedia.org/wiki/Tailored_Access_Operations