A hadsereg hivatalos alkalmazásának orosz kódja volt, valószínűleg felhasználói adatokat gyűjtött

A hadsereg megerősítette, hogy egy hivatalosan jóváhagyott alkalmazást egy orosz gyökerekkel rendelkező technológiai vállalat kódjával készítettek, amely népszerű eszközöket biztosít az alkalmazásfejlesztők számára, hogy egyéni értesítéseket küldhessenek felhasználóiknak. A megerősítés azután született, hogy a Reuters vizsgálata felhívta a figyelmet a helyzetre.

Legalább 1000 ember töltötte le az alkalmazást, amely frissítésekkel látta el a kaliforniai Fort Irwin Nemzeti Kiképző Központ csapatait, amely kritikus útpont az egységek bevetéséhez, hogy teszteljék harctéri képességeiket, mielőtt a tengerentúlra indulnának. Az alkalmazás 2019-ben kiesett a forgalomból a rutin személyi változások miatt, és valószínűleg ma sem hagyták volna jóvá az elmúlt években szigorodó informatikai protokollok miatt – mondta a hadsereg tisztviselője és a szolgálat szóvivője.

Az alkalmazás kódjának egy része a Pushwoosh néven ismert cégtől származik, amely állítólag mindent megtett, hogy amerikai székhelyű szervezetként mutassa be magát a Reuters szerint. Ezek az erőfeszítések magukban foglalják a hamis LinkedIn-profilokat, a hamis címeket és egyebeket. A cég alapítója, Max Konev szeptemberben kijelentette a hírszervezetnek, hogy “büszke arra, hogy orosz”.

Az Egyesült Államok Kína mellett Oroszországot tekinti a nemzetbiztonsági fenyegetésnek. Washingtoni tisztviselők többször is figyelmeztettek Moszkva hackercsapataira és arra, hogy külföldi befolyásolási kampányokat folytathat, a kiberbiztonsági szakértők pedig azt mondták a Reutersnek, hogy az orosz titkosszolgálatok képesek lehetnek arra, hogy a Pushwooshhoz hasonló cégeket arra kényszerítsék, hogy átadják adataikat, függetlenül attól, hogy hol tárolják azokat.

A Reuters által megkérdezett jogi szakértők szerint a cég képes volt megkerülni azokat az iparági szabályozásokat és a kormányzati szerződésekre vonatkozó szabályokat, amelyek megakadályozták az orosz cégekkel való üzletelést. Az ilyen korlátozások szigorodtak Oroszország februári, újbóli inváziója óta Ukrajnában, és egyre több cég szembesült formális szankciókkal is.

A Pushwoosh egyike a sok szoftverfejlesztő cégnek, amely harmadik féltől származó kódolási megoldásokat kínál más fejlesztőknek, akik kész funkciókat keresnek projektjeikbe. A cég honlapja szerint a Pushwoosh úgy szabja személyre a célzott értesítéseit, hogy nagy mennyiségű felhasználói adatot gyűjt össze és tárol németországi szerverein.

Az orosz entitás helyadatokat, eszközadatokat és egyéb potenciálisan azonosítható információkat gyűjt az értesítési kódot használó alkalmazásoktól, és azokat a szerverein köti össze. Egy céges blogbejegyzésből kiderül, hogy ezeket az adatokat “örökké” megőrzi, függetlenül attól, hogy mennyi idő telt el azóta, hogy a felhasználó megnyitotta az alkalmazást, kivéve, ha a felhasználó letiltja az értesítéseket vagy eltávolítja az alkalmazást.

A National Training Center alkalmazást, amelyet a szolgáltatás TRADOC mobilalkalmazás-portálja tett közzé, és amely az Apple és a Google alkalmazásboltjaiban is szerepel, “2016-ban fejlesztették ki” a “Pushwoosh ingyenes verziója” felhasználásával, Bryce Dubee, a hadsereg szóvivője megerősítette a hadseregnek küldött e-mailben. Times és C4ISRNET.

Nem világos, hogy a Pushwoosh milyen felhasználói adatokat gyűjtött be az NTC alkalmazásból, és milyen adatokat tárolt, és az sem biztos, hogy az orosz titkosszolgálat megszerezte-e vagy fér hozzá. De még az ártalmatlannak tűnő alkalmazások is ösztönözhetik a célzási kísérleteket: A 2020-as VICE alaplapi vizsgálat során kiderült, hogy az Egyesült Államok Különleges Műveleti Parancsnoksága névtelen helyadatokat vásárolt több, a muszlim világban népszerű alkalmazáshoz, feltehetően azért, hogy leleplezze a terrorista csoportokhoz köthető személyeket, és célokat tűzzen ki.

Oroszország történelmileg tagadta a kiberagresszióval és kémkedéssel kapcsolatos vádakat. A Pushwoosh alapítója, Konev azt mondta a Reutersnek, hogy cégének “semmilyen kapcsolatban sincs az orosz kormánnyal”.

Miért használt egy hadsereg alkalmazás Pushwoosh kódot?

Az NTC-hez, egy jelentős kiképzőközponthoz rendelt személy készítette a kérelmet, és benyújtotta azt jóváhagyásra és közzétételre a katonasághoz, mondta Dubee. Aztán jóváhagyták.

Az alkalmazás Apple Store-ban található leírása szerint, amelyet az App Aware API kaparója archivált, az NTC alkalmazás “a legújabb Fort Irwin híreket, információkat és közösségi média frissítéseket” hirdette a felhasználóknak. Tartalmaz továbbá “gyorskattintható gombokat a postai szolgáltatások hívásához, közösségi naptárat, népszerű intézmények térképét és még sok mást”.

Nem világos, hogy a felhasználóknak a térkép funkciót kellett-e választaniuk ahhoz, hogy megosszák helyzetüket az alkalmazással – és esetleg a Pushwoosh-val. Egyébként elég sokat használták az alkalmazást; Az alkalmazás archivált bejegyzése a Google Play áruház kaparójában, az APK Combo szerint több mint 1000 Android-felhasználó töltötte le. Az Army Times és a C4ISRNET nem tudta megerősíteni, hogy hány Apple-eszközön volt telepítve az alkalmazás, mielőtt eltávolították az App Store-ból.

Az NTC alkalmazás 2019-ben kiesett, mondta a hadsereg egyik tisztviselője a személyi változások után. A potenciális kockázatok azonban évekig észrevétlenek maradtak az NTC alkalmazás elhagyása után, tette hozzá a tisztviselő, mígnem a hadsereg alkalmazásainak „rutinszerű vizsgálata” márciusban „kiderítette, hogy az NTC alkalmazás nem megfelelő, nem használható, és nem frissíthető. .”

Ma az alkalmazást egyáltalán nem hagyják jóvá, „mert 2016 óta szigorodtak a szabályozások és irányelvek [when it was developed]”, a katonaság pedig „az alkalmazást teljesen offline állapotba helyezte, miközben rutinszerű ellenőrzést végzett az engedélyezett alkalmazásokban” – erősítette meg Dubee.

„A szabályozás nem engedélyezi az ingyenes szoftverek használatát, ha fizetős szoftverek állnak rendelkezésre, és ennek következtében a PM Army Mobile csapata azonnal elutasította/elutasította volna a szabad szoftverek használatát” – magyarázza Dubee.

A szóvivő nem válaszolt az Army Times és a C4ISRNET kérdéseire, amelyekben további információkat kértek arról, hogy az alkalmazás milyen adatokat gyűjt, és hogy a szolgáltatás tisztában volt-e a cég eredetével, amikor márciusban leállította az NTC alkalmazást.

Davis Winkie a katonaság vezető riportere, aki az elszámoltathatósági jelentésekre, a személyzeti kérdésekre és a katonai igazságszolgáltatásra szakosodott. 2020-ban csatlakozott a Military Timeshoz. Davis történelmet tanult a Vanderbilt Egyetemen és az UNC-Chapel Hill-en, ahol diplomamunkát írt arról, hogy a hidegháborús védelmi minisztérium hogyan befolyásolta a második világháborús hollywoodi filmeket.

Colin Demarest a C4ISRNET riportere, ahol katonai hálózatokkal, kiberrel és IT-vel foglalkozik. Colin korábban beszámolt az Energiaügyi Minisztériumról és a Nemzeti Nukleáris Biztonsági Igazgatóságról – nevezetesen a hidegháborús tisztításról és a nukleáris fegyverek fejlesztéséről – egy dél-karolinai napilapnak. Colin díjnyertes fotós is.

.

Leave a Comment

%d bloggers like this: