infa.lt

Originalus straipsnio pavadinimas: Kaip sugauti plėšrūną administratorių: OSINT galia (To catch a predator admin: the power of OSINT)

Straipsnyje aprašomas savanorių, įsiskverbiančių į pedofilų tinklus darbas ir jų surinktų duomenų likimas, kai jie perduodami oficialioms institucijoms. Toks įspūdis, kad tos institucijos dirba tik tam, kad padėtų nusikaltėliams išvengti kalėjimo. Straipsnį„Cybernews“ svetainėje paskelbė Jesse William McGraw.

Šis #OpChildSafety tyrimas prasidėjo 2024 m. kovo 12 d., kai vienas iš mano grėsmių tyrėjų iš „W1nterStorm“, kurį vadinsiu slapyvardžiu CR-2 (Confidential Researcher), aptiko „Facebook“ grupę pavadinimu „Modeling 4 Kidz“, kuri buvo ne tokia, kokia atrodė.

Tai buvo ta pati „Facebook“ grupė, kurioje CR-2 iš pradžių aptiko CSAM (Child Sexual Abuse Material) tinklą, kurį pavadinome „Hydra“.

Grupė buvo sukurta siekiant pritraukti vyrus ir moteris, turinčius tą patį iškrypusį mąstymą. Tarp daugybės temų naudotojas, vardu JoeHaze, pasidalijo nuoroda į savo privačią „WhatsApp“ bendruomenę. Tai buvo gija tarp susipynusių siūlų, ir CR-2 nusprendė ja sekti, kad pamatytų, kur ji veda.

Tai, ką ji aptiko, buvo vienas iš pačių blogiausių CSAM, su kuriais jai kada nors teko susidurti.

Tokie dalykai verčia susimąstyti, kodėl pasaulis neteikia pirmenybės vaikų apsaugai. Atrodo, lyg tokia mintis niekada nebūtų kilusi, o jei ji ir kyla, pastangos geriausiu atveju yra menkos.

Taip pat negaliu nesusimąstyti, kodėl didžiosios technologijų bendrovės ima prenumeratos pinigus iš CSAM rinkos operatorių ir suteikia jiems platformas, kad jie galėtų netrukdomai siekti savo iškrypusių interesų įgyvendinimo.

Sekant šia tema

Pasekusi nuorodą, CR-2 suprato, kad užsikabino už CSAM turgavietės, kurios administratorius buvo „JoeHaze“, veikiantis slapyvardžiu „FunnyUncle“. Tačiau ten, kur pagrindinė jo valiuta buvo slaptumas ir pinigai, jis nebuvo itin sumanus, kaip išlaikyti anonimiškumą internete.

Kuo daugiau CR-2 domėjosi jo elgesiu internete, tuo labiau aiškėjo, kad jo OPSEC buvo siaubingas, ir tuo mes džiaugėmės. Be to, vyras buvo įžūlus ir atvirai gyrėsi savo neteisėtais poelgiais.

Populiarioje žinučių siuntimo platformoje „WhatsApp“ naudotojų telefono numeriai matomi tik bendruomenės administratoriams ir kitiems naudotojams, išsaugojusiems jus kaip kontaktą.

Tad CR-2 pradėjo pridėti naudotojus prie profilio, kurį naudoja tyrimams atlikti. Tai leido jai atskleisti daugiau nei tuzino naudotojų, dalyvaujančių šioje pogrindinėje CSAM rinkoje, telefono numerius.

Staiga mūsų tyrimas buvo nutrauktas po to, kai nežinomas kibernetinis sekėjas, įsiskverbęs į FunnyUncle bendriją, paskelbė komentarą, kuris demaskavo jo vaidmenį ir buvimo joje priežastį.

Tuomet FunnyUncle nedelsdamas uždarė bendruomenę ir perkėlė savo „prekyvietę“ kitur. Deja, taip nutinka nuolat ir tai labai kenkia kitoms tyrimo iniciatyvoms. Tai prieštarauja viskam, už ką pasisakome, ir yra elgesys, kuris tiesiog padeda priešui.

Kai medžiotojas sąmoningai įspėja priešą, iškeldamas raudonas vėliavas, arba kai kas nors iš savo bendruomenės narių įspėja administratorių ir kitus narius, kad jie yra tyrimo objektas, galutinis rezultatas yra tas pats.

Tačiau būtent tuo metu mūsų komanda jau pilnai baigė „Hydra“ tinklo tyrimą ir perdavė savo duomenis reikiamoms institucijoms ir pranešimus teikiančioms organizacijoms.

Dėl visiško JAV teisėsaugos institucijų nesidomėjimo, Jungtinės Karalystės Nacionalinės nusikalstamumo agentūros įžūlaus atsisakymo imtis bent menkiausių tolesnių veiksmų, „Internet Watch Foundation“ (IWF) griežto pasmerkimo ir Nacionalinio dingusių ir išnaudojamų vaikų centro (NCMEC) tylos mūsų pastangos sulaukė didelio pasipriešinimo.

IWF karštosios linijos atsakyme į mūsų pranešimą buvo aiškiai nurodyta, kad jie negali naudotis išorės pagalba. Tai reiškia, kad jie neanalizuos tokio pobūdžio pranešimų. Be to, IWF darė prielaidą, kad mūsų tyrėjai aktyviai ieškojo CSAM ir kad mes pažeidėme įstatymą, nepaisant mūsų ketinimų.

Pranešimas baigėsi skambiu finalu, pabrėžiant, kad IWF neatlieka tiriamojo darbo. To mes nepastebėjome, nes puslapyje, tęsiančiame jų pranešimo šabloną, tai nepaminėta.

IWF priekaištas mums atėmė žadą, nes nė viename mūsų pranešime nebuvo neteisėtų vaizdų ar kitų draudžiamų laikmenų formų – tik duomenys. Vis dėlto melagingas IWF kaltinimas ir grėsmingas įspėjimas, nepaisant to, kad CR-2 matė ir stebėjo prieš vaikus vykdomus nusikaltimus, mums įrodė, kad „Jei ką nors matai, pasakyk ką nors“ galioja ne visiems stebimiems nusikaltimams.

Be to, norėjau daugiau sužinoti iš NCMEC, kad geriau suprasčiau, kaip jie rūšiuoja gautus pranešimus. Nusiunčiau jiems elektroninį laišką su užklausa dėl pokalbio organizavimo, tačiau jie atsisakė atsakyti.

Todėl padarėme ilgą pertrauką, kad atsigautume po to, kas atrodė kaip didelė netektis. Vėliau, rugsėjo 11-ąją, praėjus pusei metų, prisiminiau surinktus „WhatsApp“ numerius CR-2.

Vėl pradėjome sekti giją.

Svarbios OSINT priemonės

Kai turite telefono numerį ir reikia nustatyti, kieno vardu jis registruotas, naudoju „Intelius“ – viešųjų įrašų duomenų bazę. Viešųjų įrašų duomenų bazių problema yra ta, kad dažnai sunku nustatyti, ar informacija yra aktuali šiam momentui ir tiksli. Jose gali būti daug klaidingai teigiamų duomenų, todėl reikia ištirti kiekvieną svarbų duomenų tašką.

Faile esantis telefono numeris tikrai priklausė mūsų tiriamajam subjektui, tačiau įrašuose neatsispindėjo nieko aktualaus. Tuo metu naudojimasis viešųjų įrašų duomenų bazėmis buvo aklavietė.

Gera žinia ta, kad kalbant apie OSINT, gaunate tai, už ką mokate. Štai kodėl savo grėsmių tyrimams realiuoju laiku naudoju „OSINT Industries“. Kai ieškojau to paties numerio, gavau gausybę informacijos, kurios anksčiau nebuvau matęs.

Man patinka, kad ši tyrimo priemonė sukuria paprastus grafinius žemėlapius, kuriuose matyti kiekvienas ryšys ir kaip visa tai tarpusavyje susiję. Mažiau laiko praleidžiu šalindamas klaidingai teigiamus rezultatus ir daugiau laiko iš tikrųjų dirbu su naudinga informacija.

Mūsų objektas buvo užsiprenumeravęs tą patį telefono numerį „Microsoft“, „Apple“, „WhatsApp“, „Telegram“, „CashApp“, „Paypal“, „TrueCaller“ – sąrašas tęsiasi. Informacijos buvo daug ir ją buvo lengva eksportuoti. Dar geriau, kad jis buvo užsiprenumeravęs šias paslaugas naudodamas savo tikrąjį vardą, Joseph Jaeger Hayes.

Kelios iš šių paskyrų taip pat turėjo tą patį ekrano paveikslėlį, kuris buvo naudojamas FunnyUncle „WhatsApp“ profilyje. Tuomet neabejotinai žinojome, kad ieškome Joseph Jaeger Hayes, dar žinomo kaip „JoeHaze“ , iš Talahasio, Floridos valstijos.

Surinkusi visą svarbią informaciją iš ataskaitos, CR-2 atliko viešųjų įrašų paiešką, dabar jau apsiginklavusi konkrečiais identifikatoriais, išgautais iš „OSINT Industries“, ir nustatė teigiamą atitikmenį.

Sekdami ataskaitą iki galo

Tyrimui einant į pabaigą, apie Džozefą Heisą žinojome viską. Jis buvo išsiskyręs, turėjo mažametę dukrą. Žinojome, kad jis veikė „Telegram“ ir tamsiajame internete. Žinojome, kokioms grupėms jis vadovavo ir kaip gaudavo CSAM platinimui.

Bet net jei mums pavyktų gauti veidrodinį atvaizdą to, kas yra jo telefone ar kompiuteryje, supratau, kad galiausiai tai net nebūtų svarbu, jei tokios grupės ir organizacijos kaip mūsų negali turėti klausytojų FTB, net jei visuomenei matant vykdomi baisūs nusikaltimai prieš vaikus.

Esu buvęs juodasis (blackhat) kompiuterių įsilaužėlis ir 11 metų praleidau kalėjime už įsilaužimą. Turiu rimtų priežasčių nepasitikėti teisėsauga. Tačiau dėl to savo nesutarimus atidedu į šalį. Kaip paaiškinau „BSides“ konferencijoje Vilniuje, Lietuvoje, anksčiau šią gegužę, įsilaužėliai nėra teisėsauga. Negalime išversti šių žmonių durų ir jų suimti.

Nėra jokių pasekmių, nebent teisėsauga pati vadovauja tyrimui. O kadangi mes nesame FTB agentai, mūsų pranešimai tiesiog išmetami į eilę, kol, tikėtina, lauksime, kol NCMEC įvertins mūsų pranešimo rimtumą.

Kai matai, kad tie patys vaikų grobuonys, apie kuriuos pranešėte prieš metus, toliau netrukdomai veikia, turi pagrindo manyti, kad pranešimų sistema neveiksminga.

Surašiau faktinę ataskaitą su pridėtais įrodymais ir išsiunčiau ją asmeniui, turinčiam ryšį su Interpolu. Tą pačią ataskaitą šiandien vakare išsiųsiu Talahasio policijos departamentui.

Kas bus toliau, galima tik spėlioti.

Tačiau klausimas, kodėl pasaulis nesaugo vaikų, lieka atviras. Kodėl galiojantys federaliniai ir valstijų įstatymai nesuteikia jokios apsaugos paprastiems piliečiams, kurie susiduria su CSAM? Be to, kodėl vyriausybės nespaudžia didžiųjų technologijų bendrovių teikti pirmenybę CSAM aptikimui ir pranešimui apie ją savo platformose?

Gali ateiti diena, kai visas Talahasio miestas gaus tekstinę žinutę su pranešimu, kuriame bus įspėjama apie Džozefą Hajsą ir informuojama apie tai, ką jis darė.

Tai apima ir jo vietos mokyklų rajoną. Jo darbdavį. Visą jo giminės medį. Jo vietines naujienas. Galų gale aš vis dar esu gana išprusęs technologijų srityje, tarp armijos tėvų, kurie padarys viską, kad apsaugotų savo vaikus.

OpChildSafety yra priežastis, už kurią reikia kovoti. Jei mes to nepadarysime, niekas to nepadarys.