náhled|Oficiální logo publikací dokumentů souhrnně označených jako Vault 7. Vault 7 je série dokumentů, které nezisková mediální společnost Wikileaks začala publikovat dne 7. března 2017. Tato série dokumentů obsahuje detailně popsané aktivity a možnosti CIA elektronicky sledovat lidi po celém světě a nabourat se do jejich elektronických zařízení.
Data z rozmezí let 2013–2016 obsahují zdrojové kódy softwaru využívaného CIA ke kompromitaci aut, chytrých televizí, internetových prohlížečů (Firefox, Google Chrome, Microsoft Edge) a operačních systémů většiny chytrých telefonů (iOS, Android) a také počítačů (Microsoft Windows, macOS a Linux).
Kompletní publikace zdrojových kódů malwarů a frameworků se nazývá „Year Zero“.
Publikace Společnost Wikileaks začala upozorňovat na únik už na počátku února 2017 na svém Twitteru.
Část první První balík dokumentů byl publikován 7. března 2017, obsahující 7,818 webových stránek a 943 příloh. Zdroj zůstal v anonymitě, bylo pouze uvedeno, že soubory putovaly skrz mnoho amerických vládních hackerů a dodavatelů, z nichž jeden poskytl serveru Wikileaks část archivu. Podle Wikileaks chce zdroj „iniciovat veřejnou diskusi o bezpečnosti, vytváření, používání, šíření a demokratickém kontrolování kybernetických zbraní“ od doby kdy tyto nástroje vyvolávají otázky zda „hackerské schopnosti v CIA převyšují své mandátní pravomoci“.
Wikileaks redigovala jména i jiné identifikační informace z dokumentů ještě před jejich uvedením. Uvedli také, že budou muset odložit zveřejnění zdrojového kódu kybernetických zbraní, který je údajně několik set milionů řádků dlouhý. Julian Assange, zakladatel serveru Wikileaks, tvrdí, že je tato publikace tvoří pouze část z větší série dokumentů.
Část druhá Dne 23. března 2017, Wikileaks zveřejnili druhou část Vault 7 „Dark Matter“. Tato část obsahuje dokumentaci o úsilí CIA prolomit zabezpečení iPhonu a Macu, produktů společnosti Apple.
Část třetí Třetí část publikací obsahuje 676 zdrojových kódu souborů pro CIA Marble Framework. Tento framework se používá k změně kódu ve snaze znesnadnit antivirovým firmám a vyšetřovatelům pochopit kód nebo zjistit jeho zdroj.
Část čtvrtá Dne 7. dubna publikoval server Wikileaks uživatelské příručky pro framework Grasshopper. Jedná se přesně o 27 dokumentů.
Část pátá Dne 14. dubna 2017 publikoval server Wikileaks 6 dokumentů o projektu HIVE vytvořený týmem EDB CIA.
Část šestá Dne 21. dubna 2017 publikovala Wikileaks uživatelskou příručku pro nástroj CIA „Weeping Angel“ – implantát určený pro televizory Samsung F Series Smart. Implantát je navržen pro záznam zvuku z vestavěného mikrofonu a uložení dat.
Značky z dokumentace uživatelské příručky ukazuje, že implantát napsala MI5 a později ho sdílela s CIA. Obě agentury poté spolupracovaly na dalším vývoji malwaru.
Část sedmá Dne 28. dubna 2017 zveřejňuje Wikileaks dokumentaci a zdrojový kód pro projekt CIA „Scribbles“, což je systém předběžného zpracování dokumentů s vodoznakem pro vkládání štítků „Web beacon“ do dokumentů, které pravděpodobně budou kopírovány.
Scribbles je určen k předprocesování dokumentů Microsoft Office offline. Z důvodů provozní bezpečnosti vyžaduje uživatelská příručka, že „spustitelný soubor Scribbles, soubory parametrů, příjmové a protokolové soubory by neměly být instalovány na cílovém počítači ani ponechány na místě, kde by je mohl sbírat nepřítel.“
Část osmá Dne 5. května 2017, publikoval server Wikileaks nástroj zvaný „Archimedes“, který CIA využívá k útoku na počítač uvnitř místní sítě (LAN), proto se obvykle využívá při útoku na kanceláře. Umožňuje přesměrování provozu z cílového počítače uvnitř LAN prostřednictvím počítače infikovaného tímto malware. Tuto techniku CIA využívá k přesměrování webového prohlížeče cíle na jiný server, zatímco se vše vypadá normální běžná relace.
Dokument znázorňuje typ útoku v rámci „chráněného prostředí“, protože je nástroj nasazen do existující lokální sítě zneužívající stávající stroje k tomu, aby cílené počítače byly pod kontrolou a umožnily další exploitaci a zneužití.
Část devátá Dne 12. května 2017, publikoval server Wikileaks dvě platformy malware CIA pro Microsoft Windows. Tyto platformy jsou zvané „AfterMidnight“ a „Assassin“.
Část desátá Dne 19. května 2017 publikuje server WikiLeaks dokumenty z projektu CIA „Athena“. Software Athena, podobně jako související systém Hera, poskytuje vzdálené nakládání na cílových počítačích s operačním systémem Microsoft Windows (z Windows XP na Windows 10). Jakmile je malware nainstalován, poskytuje schopnost upravení a zatížení paměti pro konkrétní procesy a doručování a načítání souborů do nebo z určeného adresáře v cílovém systému. Umožňuje operátorovi konfigurovat nastavení během běhu, aby se přizpůsobil operaci.
Podle dokumentace byl malware vyvinutý CIA ve spolupráci se společností Siege Technologies, samozvanou kybernetickou bezpečnostní společností se sídlem v New Hampshire v USA. Siege Technologies uvádí na svých internetových stránkách, že společnost se zaměřuje na využívání ofenzivních kybernetických technologií a metodik pro vývoj přediktivních řešení kybernetické bezpečnosti pro pojišťovny, vlády a další cílené trhy.
Část jedenáctá Dne 1. června 2017 publikuje server WikiLeaks dokumenty z projektu „Pandemic“, trvalého implantátu pro počítače Microsoft Windows, který sdílí soubory (programy) se vzdálenými uživateli v místní síti. „Pandemie“ se zaměřuje na vzdálené uživatele tím, že v případě, že je program načten z infikovaného počítače, nahradí kód aplikace na cestě verzí trojského koně. Chcete-li přerušit jeho činnost, původní soubor na souborovém serveru zůstává nezměněn. Soubor je pouze modifikován během přechodu z pandemického souborového serveru před provedením v počítači vzdáleného uživatele. Implantát umožňuje výměnu až 20 programů s maximální velikostí 800 MB pro vybraný seznam vzdálených uživatelů (cílů).
Jediný počítač v lokální síti se sdílenými jednotkami, který je infikován implantátem „Pandemic“, se bude chovat jako „pacient nula“ při šíření nemoci. Bude infikovat vzdálené počítače, pokud uživatel provede programy uložené na serveru souborů pandemie. I když to není výslovně uvedeno v dokumentech, zdá se technicky možné, že vzdálené počítače, které poskytují sdílené soubory, se stanou novými pandemickými souborovými servery v místní síti, aby dosáhly nových cílů.
Část dvanáctá Dne, 15. června 2017, publikuje server WikiLeaks dokumenty z projektu CherryBlossom od CIA, který byl vyvinut a realizován za pomoci amerického neziskového Stanford Research Institute (SRI International).
Část třináctá Dne, 22. června 2017, publikuje server WikiLeaks dokumenty z projektu Brutal Kangaroo od CIA. Brutal Kangaroo je sada nástrojů pro systém Microsoft Windows, která se zaměřuje na uzavřené sítě. Komponenty Brutal Kangaroo vytvářejí vlastní uzamčenou síť v cílové uzavřené síti a poskytují funkci pro provádění průzkumů, seznamů adresářů a libovolných spustitelných souborů.
Část čtrnáctá Dne 28. června 2017, publikuje server WikiLeaks dokumenty CIA z projektu ELSA. ELSA je georeferenční malware pro zařízení podporující technologii WiFi, jako jsou notebooky s operačním systémem Microsoft Windows.
Část patnáctá Dne 30. června 2017, publikuje server WikiLeaks dokumenty CIA z projektu OutlawCountry, který se zaměřuje na počítače s operačním systémem Linux.
Část šestnáctá Dne 6. července 2017, publikuje server Wikileaks dokumenty CIA z projektů BothanSpy a Gyrfalcon CIA. Implantáty popsané v obou projektech jsou navrženy tak, aby zachycovaly a odfiltrovaly pověření SSH, ale pracovaly na různých operačních systémech.
Část sedmnáctá Dne 13. července 2017, publikuje server Wikileaks dokumenty z projektu Highrise. HighRise je aplikace určená pro mobilní zařízení se systémem Android 4.0 až 4.3.
Část osmnáctá Dne 19. července 2017, publikuje server WikiLeaks projekt ULC/Raytheon. Celým názvem UMBRAGE Component Library jsou dokumenty od dodavatele CIA Raytheon Blackbird Technologies. Tato společnost pro CIA analyzuje škodlivý software a poskytuje doporučení vývojovým týmům CIA pro další tvorbu vlastních malwarů.
Část devatenáctá Dne 27. července 2017, publikuje server Wikileaks soubor dokumentů Imperial. Jedná se o nástroje Achilles, Aeris a SeaPea. SeaPea je rootkit pro OS X, který je schopný skrývat soubory, adresáře nebo procesy a spouští se na verzích 10.6 a 10.7.
Část dvacátá Dne 3. srpna 2017, publikuje server Wikileaks dokumenty projektu Dumbo. Dumbo umožňuje zničit jakékoliv videozáznamy, které by mohly ohrozit nasazení PAG (Physical Access Group), což je pobočka CCI (Center for Cyber Intelligence), která má za úkol získat a využít přístup k cílovým počítačům v terénu při operacích CIA. Dumbo dokáže identifikovat, řídit a manipulovat s detekčními systémy v cílovém počítači se systémem Microsoft Windows. Identifikuje všechna zařízené (WiFi, Bluetooth, Webové kamery, mikrofony). Tento software musí být nahrán do počítače agentem v terénu z USB disku. Nahrání softwaru na počítač vyžaduje oprávnění správce. Podporuje 32bitový Windows XP, Windows Vista a novější, 64bitový Windows XP a novější. Windows před Windows XP nejsou podporovány.
Část dvacátá první Dne 10. srpna 2017 publikoval server Wikileaks uživatelskou příručku pro projekt CoachPotato CIA. Nástroj je používán vzdáleně a umožňuje sběr dat z běžícího streamu videa. Tento stream shromažďuje buď jako video soubor (.avi) nebo vytváří statické snímky (.jpg).
Marble framework Dokumenty popisují, že se Marble framework používá ke schování textových fragmentů malwaru. Další část programu je využívání cizích jazyků k zakrytí, že zdrojem malwaru je CIA.
Wikileaks tvrdí, že primárním využitím programu Marble je vkládání cizích jazyků do malwaru k zamaskování virusů, trojanů a hackovacích technik, aby forenzní vyšetřovatelé určili z atributů kódu špatný národ. Zdrojové kódy vytvořené v Marble obsahují různé jazyky jako například čínštinu, ruštinu, arabštinu nebo korejštinu.
Analytici říkají, že popis Marble od Wikileaks je nepřesný a hlavním účelem má být vyhnutí se antivirové ochraně.
Grasshopper framework Platforma vyvinutá CIA, která umožňuje vytvořit payloady pro malware na operační systémy Microsoft Windows.
HIVE náhled|Popis infrastruktury HIVE. HIVE je back-endová infrastruktura malwaru s public-facing HTTPS rozhraním, které je využíváno k přenosu informací získaných z cílového zřízení operátorům CIA a také k obdržení příkazů od operátorů k spuštění různých příkazů na cílovém zařízení. HIVE se využívá u více druhů malwaru CIA. Veřejné rozhraní HTTPS využívá různé domény. Tyto domény nevypadají podezřele, a proto se používají k zakrytí přítomnosti malwaru.
Americká společnost Symantec na svém blogu napsala zprávu o Longhorn group a backendové infrastruktuře malware. Longhorn group je hackerská skupina aktivní od roku 2011. Soustředí se hlavně na backdoor Trojany spojené se zero-day zranitelnostmi. Longhorn infiltrovala vlády a mezinárodně působící organizace. Dále se zaměřují na cíle ve finančních, telekomunikačních a energetických sektorech. Podařilo se jim infikovat minimálně 40 cílů v minimálně 16 zemích ze Středního Východu, Evropy, Asie a Afriky. Při jedné příležitosti se infikoval počítač v USA, ale byl odinstalován během pár hodin, což nasvědčuje tomu, že počítač byl infikován neúmyslně.
Spojitost s Longhorn group s Vault 7 Jeden z publikovaných dokumentů popisuje část malwaru Fluxwire, který obsahoval data změn, když se začleňovaly nové funkce. Tyto data se téměř shodují s daty vývoje malwaru Longhorn group. Longhorn pojmenovala tento trojský kůň Corentry (Trojan.Corentry). Dřívější verze Corentry obsahují odkaz a cestu k souboru z databáze programu Fluxwire.
AfterMidnight a Assassin