Il vigilante che ha hackerato l’Hacking Team spiega come ha fatto

A luglio dell'anno scorso, Hacking Team, la controversa azienda di spionaggio per governi e per la rivendita di strumenti per hacking, è stato violata lei stessa da un ente esterno. La breccia è finita su tutte le prime pagine del mondo, ma nessuno ha mai saputo granché di questo hacker ostile e dei suoi metodi. Il mistero è stato finalmente risolto.

Dopo otto mesi di quasi completo silenzio, il vigilante digitale dietro l'attacco è riapparso, e ha pubblicato una spiegazione dettagliata di come è riuscito a entrare nei sistemi dell'azienda e rivelare i suoi segreti più nascosti.

Lo scritto spiega non solo come l'hacker, che si fa chiamare Phineas Fisher, sia riuscito a entrare nella rete di Hacking Team e prelevare silenziosamente oltre 400 gigabyte di dati, ma è anche un manifesto dei suoi ideali politici e delle ragioni dietro l'hacking.

"Questo è tutto ciò che serve per distruggere un'azienda e fermare i suoi abusi nei confronti dei diritti umani," proclama l'hacker alla fine della sua guida, che Motherboard ha potuto leggere in anticipo. "È la bellezza e l'asimmetria dell'hacking: con solo 100 ore di lavoro, una persona può vanificare anni e diversi milioni di dollari di lavoro di un'azienda. L'hacking dà ai meno fortunati la possibilità di combattere e vincere."

Phineas Fisher ha affermato che rendere pubblici quei documenti per mostrare la corruzioni e gli abusi di potere è un vero esempio di "hacking etico," a differenza del lavoro di consulenza per aziende che molti hacker fanno—aziende che spesso sono le prime a meritare di essere hackerate.

Hacking Team è un'azienda italiana che vende spyware e servizi di hacking alla polizia e alle agenzie di intelligence di tutto il mondo. Nel corso degli anni, i ricercatori hanno documentato diversi casi in cui gli strumenti di Hacking Team sono stati sfruttato contro giornalisti, dissidenti o attivisti.

"Vedo [il CEO di Hacking Team David] Vincenzetti, la sua azienda, i suoi amici, la polizia, i militari e i governi, come parte di una lunga tradizione di fascisti italiani," continua Phineas Fisher, scrivendo in spagnolo. (Vincenzetti spesso firmava le sue mail con il motto fascista "Boia chi molla")

Para aquell@s que esperan el próximo hackeo, háganlo uds. mism@s: Hack Back! Una Guía DIY Hack Back!15 aprile 2016

L'anno scorso, l'hacker, che era conosciuto solamente come Phineas Fisher, anche se il suo nick su Twitter ora è "Hack Back", è penetrato nei sistemi aziendali di Hacking Team, rimanendo apparantemente nascosto per settimane.

All'inizio di luglio del 2015, l'hacker ha coronato il suo atto di intrusione con la pubblicazione di un ricco archivio di file contenente migliaia di documenti interni, email e anche il codice sorgente degli strumenti di hacking dell'azienda—in altre parole, Phineas Fisher ha preso tutto ciò che c'era da prendere, mettendo a nudo tutti i segreti dell'azienda, inclusa la sua, un tempo segreta, lista di clienti.

La notte in cui ha pubblicato i dati, l'hacker ha rivelato essere la stessa persona che nel 2014 aveva penetrato i sistemi di Gamma International, un competitor di Hacking Team che vende uno spyware chiamato FinFisher. Per mesi, comunque, una domanda è rimasta senza risposta: come ha fatto l'hacker a riuscire a ridicolizzare e possedere in tutto e per tutto un'azienda il cui business model si basa propri sull'hacking di altre persone?

Ai tempi, l'hacker aveva promesso che avrebbe presto rivelato tutto. Voleva solo aspettare un po' di tempo, ha scritto su Twitter, fino a quando Hacking Team "avrebbe avuto tempo di capire cos'era successo e infine fallire."

Oltre otto mesi dopo, Hacking Team sta ancora lavorando. È per questo che Phineas Fisher ha deciso di uscire allo scoperto e di dare conto, fendente per fendente, di come è riuscito a penetrare nei sistemi, "così da poter ridere di loro e cacciarli via da internet," ha tweettato.

Nella sua guida, pubblicata venerdì, l'hacker spiega come ha usato una vulnerabilità sconosciuta, conosciuta anche come zero day, per fare il primo passo dentro la rete interna di Hacking Team. Dato che il bug non è stato ancora corretto, Phineas Fisher non ha fornito alcun dettaglio su cosa sia esattamente questa vulnerabilità, o dove l'abbia trovata. (L'hacker ha rifiutato di rilasciare un commento)

Dopo essere entrato, l'hacker ha detto di essersi mosso con attenzione, prima scaricando le mail, poi ottenendo l'accesso agli altri server del network. Dopo aver ottenuto i privilegi amministrativi all'interno del network principale Windows dell'azienda, Phineas Fisher dice di aver spiato gli amministratori di sistema, in particolare Christian Pozzi, visto che di solito hanno accesso all'intera rete. Dopo aver rubato la password di Pozzi registrando le sue digitazioni, l'hacker dice di essere entrato nella rete e di aver prelevato tutto il codice sorgente dell'azienda, che era immagazzinato in una rete separata.

A questo punto, ha resettato la password del Twitter di Hacking Team sfruttando la funzione "ho dimenticato la password," e nel tardo pomeriggio del 5 luglio ha annunciato l'hack usando l'account Twitter dell'azienda stessa.

L'hacker ha detto di essere rimasto all'interno del network di Hacking Team per sei settimane, e di aver speso circa 100 ore di lavoro per prelevare tutti i dati. A giudicare dalle sue parole, è chiaro che Phineas Fisher avesse delle forte motivazioni politiche per attaccare Hacking Team.

"Voglio dedicare questa guida alle vittime dell'assalto alla scuola Armando Diaz, per tutti coloro che hanno visto sangue versato per mano dei fascisti italiani," ha aggiunto, riferendosi al raid sanguinoso avvenuto nella scuola italiana a Genova nel 2001, in cui la polizia è entrata in una scuola in cui gli attivisti del G-8 del Social Forum di Genova abitavano, producendo l'arresto di 93 attivisti. I metodi del raid e la conseguente detenzione sono stati così controversi da portare in tribunale 125 poliziotti, accusati di pestaggio e tortura dei detenuti.

L'hacker ha anche rifiutato di essere definito un vigilante, e ha scelto una definizione più politica.

"Mi caratterizzerei come un anarchico rivoluzionario, non un vigilante," mi ha spiegato in una mail. "I vigilante agiscono al di fuori del sistema ma vogliono svolgere il lavoro della polizia o delle autorità, e io non sono fan di nessuno dei due. Sono chiaramente un criminale, non è chiaro se Hacking Team abbia mai fatto qualcosa di illegale. Se proprio qualcuno deve essere, allora è Hacking Team a essere il vigilante, visto che agisce ai margini della legalità inseguendo il suo amore per l'autorità, la legge e l'ordine."

Nella guida, Phineas Fisher incoraggia gli altri a seguire il suo esempio. "L'hacking è uno strumento potente. Imparate a sfruttarlo e combattete!" ha scritto, citando il sindacato anarco-sindacalista Cimision Nacional de Trabajo, o CNT. Dopo che Phineas Fisher aveva hackerato il Gamma Group, nel 2014, il CNT aveva detto che era chiaro che la tecnologia era solo un altro fronte in cui veniva combattuta la lotta di classe, e che era giunto il momento di "fare un passo in più" verso "nuove tecniche di combattimento."

È impossibile verificare se tutti i dettagli forniti nella guida siano veri, visto che né l'Hacking Team né l'autorità italiane hanno diffuso i dettagli relativi all'hack. "Qualunque commento dovrebbe arrivare dalle autorità di polizia italiana che hanno investigato l'attacco contro Hacking Team, quindi nessun commento da parte dell'azienda," mi ha detto il portavoce dell'azienda Erik Rabe. La procura italiana non ha rilasciato alcun commento al riguardo.

Non è chiaro come stia procedendo l'indagine, ma Phineas Fisher non sembra troppo preoccupato di venire beccato. In un'altra sezione della sua guida, ha descritto Hacking Team come un'azienda che ha aiutato i governi a spiare attivisti, giornalisti e avversari politici, e "molto raramente" criminali e terroristi. L'hacker ha fatto anche riferimento alle affermazioni di Hacking Team in cui l'azienda dice di star sviluppando una tecnologia per tracciare i criminali che sfruttano la rete Tor nel dark web.

"Considerato che sono ancora vivo," ha detto, "dubito stia funzionando."

Dopo aver condiviso un indirizzo email per contattarlo, nel caso in cui qualcuno volesse inviargli "tentativi di phishing, minacce di morte in italiano o regalargli vulnerabilità zero days da sfruttare contro banche, corporation o governo," ha concluso l'hacker, con una chiamata alle armi.

"Se non tu, chi?" Ha scritto, "Se non ora, quando?"