page=24|thumb|right|Uma referência à Tailored Access Operations em um slide do XKeyscore
O Escritório de Operações de Acesso Sob Medida (em inglês: Office of Tailored Access Operations, abreviado como TAO), estruturado como S32, é uma unidade de coleta de inteligência de guerra cibernética da Agência de Segurança Nacional (NSA) dos Estados Unidos. Ele está ativo desde pelo menos 1998, possivelmente 1997, mas não foi nomeado nem estruturado como TAO até "os últimos dias de 2000", segundo o general Michael Hayden.
O TAO identifica, monitora, infiltra e coleta inteligência sobre sistemas de computadores utilizados por entidades estrangeiras aos Estados Unidos.
Histórico
Relata-se que o TAO é "o maior e, sem dúvida, o componente mais importante da enorme Diretoria de Inteligência de Sinais (SID) da NSA", consistindo em mais de 1.000 hackers de computadores militares e civis, analistas de inteligência, especialistas em alvos, projetistas de hardware e software de computadores e engenheiros eletricistas. O escritório é atualmente conhecido como Escritório de Operações de Redes de Computadores (OCNO).
Vazamento de Snowden
Um documento vazado pelo ex-contratado da NSA Edward Snowden descrevendo o trabalho da unidade afirma que o TAO possui modelos de software que lhe permitem invadir hardware comumente usado, incluindo "roteadores, switches e firewalls de várias linhas de produtos de fornecedores". Os engenheiros do TAO preferem interceptar redes em vez de computadores isolados, porque normalmente há muitos dispositivos em uma única rede.
Organização
A sede do TAO é chamada de Centro de Operações Remotas (ROC) e está baseada na sede da NSA em Fort Meade, Maryland. O TAO expandiu-se para o NSA Havaí (Wahiawa, Oahu), NSA Geórgia (Fort Gordon, Geórgia), NSA Texas (Joint Base San Antonio, Texas) e NSA Colorado (Buckley Space Force Base, Denver).
S321 – Centro de Operações Remotas (ROC): seiscentos funcionários coletam informações de todo o mundo. S323 – Divisão de Tecnologias de Redes de Dados (DNT): desenvolve spyware automatizado S3231 – Divisão de Acesso (ACD) S3232 – Divisão de Tecnologia de Redes Cibernéticas (CNT) S3233 – S3234 – Divisão de Tecnologia de Computadores (CTD) S3235 – Divisão de Tecnologia de Redes (NTD) Divisão de Tecnologias de Redes de Telecomunicações (TNT): aprimora métodos de invasão de redes e computadores Divisão de Tecnologias de Infraestrutura de Missão: opera o software fornecido acima S328 – Divisão de Operações de Tecnologias de Acesso (ATO): Relata-se que inclui pessoal cedido pela CIA e pelo FBI, que realizam o que é descrito como "operações fora da rede" (off-net operations), o que significa que eles providenciam para que agentes da CIA instalem secretamente dispositivos de escuta em computadores e sistemas de telecomunicações no exterior para que os hackers do TAO possam acessá-los remotamente a partir de Fort Meade. Submarinos especialmente equipados, atualmente o USS Jimmy Carter, são usados para grampear cabos de fibra óptica em todo o globo. S3283 – Operações de Acesso Expedicionário (EAO) S3285 – Divisão de Persistência
Liderança
De 2013 a 2017, o chefe do TAO foi Rob Joyce, um funcionário de longa data que havia trabalhado anteriormente na Diretoria de Garantia de Informação (IAD) da NSA. Em janeiro de 2016, Joyce fez uma aparição pública rara, fazendo uma apresentação na conferência Enigma da Usenix.
Catálogo ANT da NSA
O Catálogo ANT da NSA é um documento classificado de cinquenta páginas que lista a tecnologia disponível para o Tailored Access Operations (TAO) da Agência de Segurança Nacional (NSA) pela Divisão de Tecnologia Avançada de Redes (ANT) para auxiliar na ciber-vigilância. A maioria dos dispositivos é descrita como já operacional e disponível para cidadãos dos EUA e membros da aliança Five Eyes. De acordo com a revista Der Spiegel, que divulgou o catálogo ao público em 30 de dezembro de 2013, "A lista parece um catálogo de pedidos por correio, no qual outros funcionários da NSA podem encomendar tecnologias da divisão ANT para grampear os dados de seus alvos." O documento foi criado em 2008. O pesquisador de segurança Jacob Appelbaum proferiu um discurso no Chaos Communications Congress em Hamburgo, Alemanha, no qual detalhou técnicas que o artigo do Der Spiegel publicado simultaneamente — do qual ele foi coautor — revelou a partir do catálogo.
Ataques QUANTUM thumb|Imagem de Lolcat de uma apresentação da NSA explicando em parte a nomenclatura do programa QUANTUM|alt="I iz in ur space-time continuum, upsetting all your gravity and quantums and stuffs." thumb|Slide de visão geral do QUANTUMTHEORY da NSA com vários codinomes para tipos específicos de ataque e integração com outros sistemas da NSA
O TAO desenvolveu um conjunto de ataques chamado QUANTUM. Ele depende de um roteador comprometido que duplica o tráfego da internet, tipicamente solicitações HTTP, para que elas vão tanto para o alvo pretendido quanto para um site da NSA (indiretamente). O site da NSA executa o software FOXACID, que envia de volta exploits que são carregados em segundo plano no navegador web do alvo antes que o destino pretendido tenha a chance de responder, embora não esteja claro se o roteador comprometido facilita essa corrida no caminho de retorno. Antes do desenvolvimento dessa tecnologia, o software FOXACID realizava ataques de spear-phishing que a NSA chamava de spam. Se o navegador for passível de exploração, novos "implantes" permanentes (rootkits, etc.) são implantados no computador alvo; por exemplo, o OLYMPUSFIRE para Windows, que concede acesso remoto completo à máquina infectada. Esse tipo de ataque faz parte da família de ataque de homem no meio, embora mais especificamente seja chamado de ataque de homem ao lado (man-on-the-side attack). É difícil de executar sem controlar parte do backbone da Internet.
Existem vários serviços que o FOXACID pode explorar dessa forma. Os nomes de alguns módulos do FOXACID são dados abaixo:
alibabaForumUser doubleclickID rocketmail hi5 HotmailID LinkedIn mailruid msnMailToken64 Tencent QQ Facebook Twitter Yahoo Gmail YouTube
Por meio de colaboração com Quartel-General de Comunicações do Governo (GCHQ) (MUSCULAR) o britânico, os serviços do Google também puderam ser atacados, incluindo o Gmail.
A localização de máquinas que são vulneráveis e valem a pena ser atacadas é feita usando bancos de dados analíticos como o XKeyscore. Um método específico para encontrar máquinas vulneráveis é a intercepção de tráfego do Windows Error Reporting, que é registrado no XKeyscore.
Os ataques QUANTUM lançados a partir de sites da NSA podem ser lentos demais para certas combinações de alvos e serviços, pois essencialmente tentam explorar uma condição de corrida (race condition), ou seja, o servidor da NSA tenta vencer o servidor legítimo com sua resposta. Em meados de 2011, a NSA estava desenvolvendo um protótipo de capacidade codinomeada QFIRE, que envolvia incorporar seus servidores distribuidores de exploits em máquinas virtuais (rodando em VMware ESX) hospedadas mais perto do alvo, na chamada rede de Locais de Coleta Especial (SCS) em todo o mundo. O objetivo do QFIRE era diminuir a latência da resposta falsificada, aumentando assim a probabilidade de sucesso.
COMMENDEER é usado para comandar (ou seja, comprometer) sistemas de computadores não visados. O software é usado como parte do QUANTUMNATION, que também inclui o scanner de vulnerabilidades de software VALIDATOR. A ferramenta foi descrita pela primeira vez no Chaos Communication Congress de 2014 por Jacob Appelbaum, que a caracterizou como tirânica.
QUANTUMCOOKIE é uma forma mais complexa de ataque que pode ser usada contra usuários do Tor.
Localizações virtuais
Detalheshttps://www.eff.org/files/2014/04/09/20140312-intercept-the_nsa_and_gchqs_quantumtheory_hacking_tactics.pdf (slide 8) sobre um programa intitulado QUANTUMSQUIRREL indicam a capacidade da NSA de se mascarar como qualquer host IPv4 ou IPv6 roteável. Isso permite que um computador da NSA gere credenciais falsas de localização geográfica e identificação pessoal ao acessar a Internet utilizando o QUANTUMSQUIRREL.
Equation Group
O Equation Group é um ator de ameaça que foi vinculado por pesquisadores de segurança à Agência de Segurança Nacional (NSA) e à sua unidade de Tailored Access Operations (TAO). A Kaspersky Lab descreveu o grupo em 2015 como uma das ameaças persistentes avançadas mais avançadas que havia investigado, e relatou semelhanças entre suas atividades e aquelas associadas aos desenvolvedores do Stuxnet e do Flame. Os alvos relatados do grupo incluíram entidades no Irã, Rússia, Paquistão, Afeganistão, Índia, Síria e Mali.
O nome teve origem no uso extensivo de criptografia pelo grupo. Em 2015, a Kaspersky documentou 500 infecções por malware pelo grupo em pelo menos 42 países, embora tenha reconhecido que o número real poderia estar na casa de dezenas de milhares devido ao seu protocolo de autoterminação.
Em 2017, o WikiLeaks publicou uma discussão mantida dentro da CIA sobre como havia sido possível identificar o grupo. Um comentarista escreveu que "o Equation Group, conforme rotulado no relatório, não se relaciona a um grupo específico, mas sim a uma coleção de ferramentas" usadas para invasões.
Supostas ligações com o Stuxnet e a NSA
Em 2015, as descobertas de pesquisa da Kaspersky sobre o Equation Group observaram que seu carregador, "GrayFish", tinha semelhanças com um carregador descoberto anteriormente, "Gauss", de outra série de ataques, e observaram separadamente que o Equation Group usou dois ataques de dia zero usados posteriormente no Stuxnet; os pesquisadores concluíram que "o tipo semelhante de uso de ambos os exploits juntos em diferentes worms de computador, por volta da mesma época, indica que o grupo EQUATION e os desenvolvedores do Stuxnet são os mesmos ou trabalham em estreita colaboração".
Codinomes e timestamps
Os codinomes da NSA "STRAITACID" e "STRAITSHOOTER" foram encontrados dentro do malware. Além disso, os timestamps no malware parecem indicar que os programadores trabalhavam predominantemente de segunda a sexta-feira no que corresponderia a um dia de trabalho das 08:00~17:00 (8:00 AM – 5:00 PM) em um fuso horário do leste dos Estados Unidos (Eastern Time Zone).
Ligação com o IRATEMONK thumb|A listagem da NSA de seu programa de Tailored Access Operations chamado IRATEMONK do catálogo ANT da NSA.
A F-Secure afirma que o firmware de disco rígido malicioso do Equation Group é o programa "IRATEMONK" do TAO, um dos itens do catálogo ANT da NSA exposto em um artigo do Der Spiegel de 2013. O IRATEMONK fornece ao atacante a capacidade de ter sua aplicação de software instalada persistentemente em computadores desktop e laptop, apesar de o disco ser formatado, seus dados apagados ou o sistema operacional reinstalado. Ele infecta o firmware do disco rígido, que por sua vez adiciona instruções ao registro mestre de inicialização do disco que fazem com que o software seja instalado toda vez que o computador é inicializado. É capaz de infectar certos discos rígidos da Seagate, Maxtor, Western Digital, Samsung, IBM, Micron Technology e Toshiba.
Violação de 2016 do Equation Group