Сноуден: самый опасный человек в мире

Для удаленного подключения к «ДУП» и ее администрирования в компании «Эрикссон» была разработана так называемая «Система управления перехватом» («СУП»), которая поставлялась опционально. Когда сотовый оператор получал судебный ордер на прослушивание своего абонента, специально выделенный для этой цели сотрудник в диалоговом окне «СУП» вводил всю необходимую для прослушки информацию. Оттуда она поступала в «ДУП». Согласно действовавшим правилам, только после инициирования прослушки в «СУП» она могла осуществляться в «ДУП». А следовательно, если «ДУП» прослушивала какие-то телефонные номера без запроса на прослушку, оформленного через «СУП», это было явным свидетельством незаконности операции. Для выявления таких операций в коммутаторах «АХЕ» были предназначены регистрационные журналы.

Случилось так, что изначально при покупке коммутаторов «АХЕ» компания «Водафон-Панафон» не приобрела опцию законного перехвата. Соответственно ни «ДУП», ни «СУП» не были установлены в коммутаторах «АХЕ», которые стали использоваться в компании «Водафон-Панафон». Однако в начале 2003 года ее технические специалисты произвели модернизацию программного обеспечения коммутаторов «АХЕ» до версии 9.1. Эта версия включала в себя и «ДУП». То есть с 2003 года в сотовой сети компании «Водафон-Панафон» появилось программное обеспечение для прослушки, хотя в ней и отсутствовал высокоуровневый пользовательский интерфейс для управления прослушкой в виде «СУП».

Задачи, которые стояли перед злоумышленниками, вознамерившимися прослушивать телефонные разговоры в сотовой сети компании «Водафон-Панафон», были из разряда непростых. Требовалось тайно установить в коммутаторах «АХЕ» шпионское программное обеспечение, чтобы управлять «ДУП», не будучи замеченными системными администраторами компании «Водафон-Панафон». Время от времени необходимо было обновлять список подслушиваемых телефонных номеров, а также номеров, на которые копировалась перехваченная информация. Эти манипуляции не должны были находить отражение в регистрационных журналах, а само шпионское программное обеспечение должно было оставаться невидимым для системных администраторов, обслуживавших коммутаторы «АХЕ».

Злоумышленники умело воспользовались тем, что в коммутаторах «АХЕ» можно было обновлять программное обеспечение без перезагрузки системы, дабы не разъединять действующие телефонные соединения, не терять текстовые сообщения и не отключать службы экстренного вызова. Разработанная в компании «Эрикссон» методика позволяла прямое «латание» кода, исполняемого центральным процессором, в буквальном смысле на лету.

Чтобы оптимизировать обновление программного обеспечения своих коммутаторов «АХЕ» компания «Эрикссон» разделила его на отдельные блоки, хранимые в оперативной памяти центрального процессора. В версии 9.1 таких блоков было более полутора тысяч. Каждый содержал так называемую «область коррекции», которая использовалась всякий раз, когда требовалось сделать обновление программного обеспечения.

Для примера, можно предположить, что коммутатор должен был научиться выполнять новую функцию X вместо старой Y. Тогда там, где прежде стояла команда «Если верно условие Z, то выполнить Y», обновленное программное обеспечение должно было теперь выполнять команду типа «Если верно условие Z, то перейти в область коррекции по адресу L». А по адресу L в «области коррекции» прописывалась новая функция X.

Путем такого обновления злоумышленники сумели подменить 29 блоков программного обеспечения в коммутаторах «АХЕ», чтобы напрямую задействовать возможности, предоставляемые «ДУП». В результате им удалось инициировать прослушку в обход «СУП» и тем самым избежать отражения своих действий в регистрационных журналах.

Эта подмена могла бы быть обнаружена системными администраторами компании «Водафон-Панафон» путем составления списка всех исполняемых блоков в коммутаторе «АХЕ» подобно тому, как в операционных системах семейства «Виндоуз» можно вывести на экран список всех исполняемых процессов с помощью диспетчера задач. В результате было бы обнаружено, что некоторые блоки были активны, хотя этого не должно быть. Однако внедренное в коммутаторы «АХЕ» шпионское программное обеспечение модифицировало команду, перечислявшую активные блоки, чтобы пропускать те из них, которые отвечали за незаконную прослушку.

Вдобавок прослушка могла бы быть выявлена в процессе планового обновления программного обеспечения коммутаторов «АХЕ» или при установке «заплат». В этих случаях было принято сначала проверять все блоки, а уже потом устанавливать обновление или заплатку. Скорее всего, шпионское программное обеспечение модифицировало и команду, вычислявшую и выдававшую контрольные суммы блоков, и подмененные блоки выглядели вполне легально.