駭客成「宰人」行業

電腦和手機都可能被遠程式控制系統（RCS）感染，它可將電腦硬盤上的文件拷貝下來，可監聽Skype上的對話與即時短信，可讀取加密前的郵件，竊取輸入網頁上的密碼，打開麥克風和攝像頭，對您進行監視或監聽。（Fotolia）

隨著駭客軟件的開發，人們似乎走到了一個充滿監控的十字路口，日前《MIT Technology Review 雜誌》報導，政府機構與專制政府都在搶購能夠輕而易舉駭入手機或電腦的軟件，購買RCS遠程式控制系統，對民眾進行監視或監聽，而一些駭客組客人使用RCS犯罪，監控異見人士，敲詐勒索政敵。駭客真成了「宰人」行業。

編譯 _ 李清怡

近日，《福布斯》雜誌發表了記者Thomas Fox-Brewster一篇關於駭客的文章，講述駭客如何將成本只有1萬2000美元的間諜盒子以20萬美元的高價出售。

Thomas稱，北京的龍昊安華警用器材公司是他聽說過的唯一一家向西方國家執法部門提供駭客工具的中國公司。該公司儼然已經成為業界的一個競爭者，也就是利用網路和手機通訊設備，開發侵入私人的硬體和軟件。該公司早在2002年就開設了網站，Thomas一次次打去電話，發電子郵件，對方都拒絕做出任何回應。

最近在法國巴黎國際軍警設備展會（Milipol）上，這是當今世界最大的國家安全設備展覽之一，Thomas隨手拿起了一份龍昊公司的介紹冊，裡面說，該公司提供種類繁多的攻擊性電子工具。引人注意的是，這家公司的無線網路寬帶數據截斷系統（WWDIS），使用虛假的無線熱點（hotspot）對用戶進行網路監控。

還有一種小黑盒子可以把間諜軟件注入智慧手機中，其「主動作弊」功能利用手機應用程式的弱點注入木馬，而WWDIS系統可以偽裝成升級服務，對設備進行虛假惡意升級。龍昊公司還通過超文本傳輸安全協議（HTTP）注入功能，將內置框架代碼插入網站，從而產生安全漏洞，使木馬可藉機侵入。該公司宣稱，他們可以在目標用戶使用網址運行HTTPS網頁時，識別加密網路活動，並在中途對用戶進行攻擊攔截。

北京的龍昊安華警用器材公司提供種類繁多的攻擊性電子工具。該公司儼然已經成為業界的一個競爭者，也就是利用網路和手機通訊設備，開發侵入私人的硬體和軟件。圖為龍昊公司英文的產品介紹網頁。（網路截圖）

在巴黎展會上，龍昊公司希望將產品賣給西方客戶，而此時的西方由於受到ISIS伊斯蘭國恐怖襲擊，正渴望更多的監控技術。市場上，已經有幾家公司出售這種攔截無線網路的工具，包括以色列的Rayzone公司。

高端侵入電腦手機工具越來越暢銷

國際移動臺識別碼（IMSI）捕捉器，熟稱Stingray，主要不是利用無線網路波，而是利用移動光譜，搜羅可覆蓋範圍內用戶的所有元數據和對話資訊。包括Rayzon和Gamma Int'l，與其他幾家公司在巴黎展會上展出不同版本的「合法截入」技術。從英國的CellXion、美國的Harris Corp到歐洲IT巨頭Atos，都有在涉獵這種業務。

令專家們擔憂的是，IMSI捕捉器可用來傳輸惡意軟件，其做法是將IMSI捕捉器功能與RCS能力相結合，事實上，就是通過捕捉器將病毒傳送至目標手機。

研究員Claudio Guarnieri表示，從技術層面來看，有可能通過 IMSI捕捉器解碼目標手機的加密系統，插入並截取數據，從而以社交工程提示或顯現字幕，引誘手機用戶下載惡意軟件。

IMSI捕捉器與無線網路截斷器都是越來越暢銷的高端侵入工具。

而且，這些工具的製作成本超廉價，但賣價利潤極高。一位不願透露姓名的內幕人士稱，無線網路截斷工具與IMSI捕捉器都可賣到20萬美元。「根據數據頻寬2G、3G和4G，價格從7萬至20萬美元不等。無線網路如何沒差別，關鍵是解碼能力。」

從事網路安全工作的Drew Porter說，花1萬2000美元便可製造一臺Stingray。今年初，他只花了5000美元就做了一臺IMSI捕捉器，掛在他的吉普車裡，當作移動監控電話。

執法者和專制政府用RCS監控民眾

《MIT Technology Review 雜誌》報導，政府機構與專制政府都在搶購能夠輕而易舉駭入手機或電腦的軟件，而這些新的技術可能令我們處於不安全的境地。

一位不願透露姓名的記者M說，她與其他幾個記者2014年收到了一封匿名電子郵件，看起來很可疑，那封郵件提前告知將有一個政府醜聞。但是，M收到郵件後，她的電腦就開始出現奇怪現象。她說：「我清楚地記得，我無法通過Skype採訪酷刑受害者，就是有干擾，我只好改用別人的手機上Skype。」

後來請網路安全專家檢查，M才知道，她和她的同事們已經被遠程式控制系統（RCS）盯上了，那個遠程式控制系統是一個叫駭客組（Hacking Team）的意大利小公司開發的間諜軟件。後來，她還發現，那個遠程式控制系統是她的政府用來對付她的工具，很可能是反對她做報導。M不願透露姓名，因為害怕被打擊報復。

情報和執法機構購買RCS遠程式控制系統，對民眾進行監控，M只是成千上萬可能被駭的民眾之一。政府和警方今後會逐漸增加這種設備的使用，我們認為這雖然可以打擊犯罪者，但對抗專制政府的普通老百姓也會有隱憂。

駭客組（Hacking Team）成立於2003年，成立之初，提供較為傳統的網路安全設備，公司首席執行長David Vincenzetti於1990年代作為加密專家出現。各大公司僱用駭客組測試其電腦網路的弱點，德意志銀行和巴克萊銀行都是駭客組的早期客戶。

2015年2月7日，來自中國、日本、波蘭、俄羅斯、南韓、臺灣及美國7個國家和地區的90位參賽者在日本參加了網路安全競賽，比試各自團隊的駭客技術。（AFP）

幾年後，Vincenzetti將公司業務轉型，產品由防守型轉為攻擊型，駭客組開始出售可以侵入個人電腦的軟件，趁其不備偷取數據，其主要產品包括RCS，即之前提到的攻擊M個人電腦的軟件。

電腦和手機都可能被RCS感染，RCS可將電腦硬盤上的文件拷貝下來，可監聽Skype上的對話與即時短信，可讀取加密前的郵件，竊取輸入網頁上的密碼，打開麥克風和攝像頭，對您進行監視或監聽。

RCS可通過攜帶惡意軟件的電子郵件，侵入您的電腦，如上述M的例子。還可能被人偷偷摸摸侵入設備，有的客戶將一個叫做「網路接入應用程式」（Network Injection Appliance）的元件嵌入互聯網服務供應商，從而引導被監控的目標人士瀏覽到一個虛假網頁，借助RCS侵入到該人的電腦系統。客戶付錢給駭客組，費用包括所使用的軟件以及可與軟件保持通訊的系統，另外，還要支付調查費等一籃子費用。客戶還會得到綜合技術支持。

監控異見人士 敲詐勒索政敵

駭客組的一些客人使用RCS製造麻煩。2012年，多倫多大學公民實驗室調查電腦安全性對人權的影響時發現，駭客組的軟件被阿拉伯聯合酋長國政府用於侵入異見人士的電腦，還被埃塞俄比亞政府用於侵入在美國工作的記者的電腦。

這一行業競爭非常激烈，Gamma Int'l公司在德國和英國都設有辦事處，提供一種類似RCS的設備Finfisher，澳洲、比利時和意大利政府機構和警方都有購買Finfisher，巴林（Bahraini）政府還用它來監控社會活動人士，據Privacy Int'l稱，烏干達政府用它來敲詐勒索政敵。

在美國，如果使用類似RCS遠程式控制系統獲取個人資訊，需要遵循刑事訴訟程式及憲法第四修正案。也就是說，聯邦調查局（FBI）在駭入您的電腦前，需要得到許可，但是，美國司法部正在著手更改這方面的規則，從而使FBI更方便地獲得「遠程進入」搜索許可。美國公民自由聯盟和谷歌都抱怨，更改後的規則可能會大大擴展RCS的應用範圍。

我們似乎走到了一個充滿監控的十字路口，而我們這個社會還沒大意識到，更不要說選擇走哪條路了。甚至是那些有幸生存在民權狀況較好的地方，也開始走下坡路。像M這種因為傳播真相而成為政府監控對象的人，也只能期望駭客組這種公司在選擇產品出售對象時有所限制。◇