Kibernetička operacija Nacionalne obavještajne organizacije Turske (MIT) protiv šifrovane aplikacije za razmjenu poruka ByLock razotkrila je hijerarhiju i tajne mreže terorističke organizacije FETO, koja je organizovala neuspjeli pokušaj državnog udara 15. jula 2016. godine.
Prema informacijama do kojih je došla agencija Anadolu, MIT je, koristeći zakonske ovlasti iz oblasti tehničkog obavještajnog rada i kibernetičke sigurnosti, preuzeo bazu podataka sa 215.092 korisnika s glavnog servera aplikacije smještenog u Litvaniji.
Dobijeni podaci omogućili su vlastima detaljan uvid u ćelijsku strukturu FETO-a i njegovu tajnu mrežu unutar državnih institucija.
Za razliku od globalno dostupnih aplikacija poput WhatsAppa i Telegrama, ByLock je bio osmišljen na principima anonimnosti i zatvorenog pristupa. Korisnici su mogli komunicirati samo ako su međusobno poznavali korisničko ime ili identifikacijski broj koji je generisao sistem i ako su se međusobno dodali u aplikaciji.
Za registraciju nisu bili potrebni broj telefona, e-mail adresa niti SMS verifikacija, što je korisnicima omogućavalo skrivanje identiteta. Zatvorena arhitektura sistema istovremeno je onemogućavala pristup osobama koje nisu bile uvedene putem organizacijske mreže.
- Formiran poseban tim za infiltraciju u mrežu
MIT je za postojanje aplikacije ByLock prvi put saznao u julu 2014. godine putem obavještajnih izvora infiltriranih u FETO.
Istraga je pokazala da je aplikacija razvijena po posebnom nalogu iz novembra 2013. godine, prije pravosudno-policijskih operacija od 17. do 25. decembra iste godine.
Sigurnost servera bila je povjerena jednom od vodećih ljudi u FETO-ovoj kibernetičkoj strukturi.
MIT je potom u okviru Odjela za kibernetičku odbranu i sigurnost formirao specijalizirani tim sastavljen od stručnjaka za baze podataka, kriptoanalitičara, mrežnih eksperata, etičkih hakera i stručnjaka za reverzni inženjering.
Tim je utvrdio da se glavni server nalazio kod litvanske kompanije Bastic Servers, koristeći devet IP adresa koje su administratori FETO-a iznajmljivali anonimnim načinima plaćanja.
Prvi kibernetički napad izveden je u augustu 2015. godine radi testiranja ranjivosti sistema i zaštitnog zida servera.
Zaštitni zid probijen je u novembru iste godine, ali je organizacija primijetila neuobičajen promet podataka i privremeno ugasila sistem.
Stručnjaci MIT-a potom su čekali 25. decembar 2015. godine, računajući da će zaposleni u kompaniji biti zaokupljeni božićnim praznicima. Tokom operacije te noći zaštitni zid je u potpunosti probijen.
Nakon ulaska u sistem, tim je hakovao e-mail račun kojim je kompanija komunicirala s klijentima i administratorima povezanima s FETO-om slao lažne poruke da na serveru nema nikakvih problema.
- Tajni pristup omogućio prijenos podataka u Ankaru
Stručnjaci za kibernetičku sigurnost iskoristili su i metode društvenog inženjeringa kako bi pristupili računaru zaposlenika zaduženog za sigurnost podataka u Litvaniji, šaljući mu fotografije predstavljene kao da ih šalje njegova djevojka.
Na taj način obavještajci su preuzeli kontrolu nad ekranima za nadzor sistema i neprimjetno izvukli milione zapisa.
Kriptološkom analizom izvornog koda pronađeni su izrazi na turskom jeziku poput "dosya" (datoteka), "posta" (pošta) i "sesli arama" (glasovni poziv). Jedan od najočitijih dokaza da je aplikacija razvijena upravo za korisnike u Turskoj bila je poruka o grešci na turskom jeziku: "Yetkiniz yok" (Nemate ovlaštenje).
Komunikacija među korisnicima bila je zaštićena složenim algoritmima za end-to-end enkripciju.
- Oporavljeno više od 17 miliona poruka
Operacijom je otkriveno 60.748 internetskih pretplata, više od 17 miliona poruka, gotovo 4,7 miliona e-mailova i 111.637 telefonskih brojeva.
Analiza baze podataka prvi put je razotkrila komunikacijski sistem koji je koristila takozvana "tajna službena struktura" FETO-a.
Tehničkom analizom provedenom u januaru i februaru 2015. godine identificiran je 81 takozvani pokrajinski imam organizacije i 160 osoba koje su obavljale funkciju tzv. državnih imama.
Tri dana prije pokušaja državnog udara, 12. jula 2016. godine, vlasti su putem komunikacije na ByLocku identificirale 600 visokorangiranih vojnih oficira povezanih s FETO-om i o tome obavijestile Generalštab Oružanih snaga Turske.
Podaci su također pokazali da je presretanje kamiona MIT-a 2014. godine bilo unaprijed planirana operacija organizacije koju su izveli pripadnici žandarmerije po instrukcijama FETO-ovih tajnih rukovodilaca.
Pripadnici FETO-a su 15. jula 2016. godine pokušali vojnim udarom preuzeti vlast u Turskoj, prvenstveno u Ankari i Istanbulu.
Učesnici puča pucali su na civile, okrenuli oružje protiv svojih komandanata i bombardovali zgradu turskog parlamenta i predsjednički kompleks, pri čemu su poginule 253 osobe, a više hiljada je ranjeno.
- Identifikacijski brojevi otkrivali položaj u organizaciji
Baza podataka pokazala je da članovi nisu koristili svoja prava imena, već identifikacijske brojeve koji su počinjali od broja jedan i prelazili 215.000.
Istražitelji su utvrdili da brojevi nisu dodjeljivani nasumično, već su odražavali hijerarhijski položaj, važnost i funkciju korisnika unutar organizacije.
Aplikacija je u početku bila namijenjena isključivo najvišim rukovodiocima i članovima tajne mreže FETO-a, a tek kasnije je proširena na ostale članove organizacije.
Utvrđeno je da su korisnici kojima su dodijeljeni brojevi među prvih 100 bili među najvažnijim operativcima organizacije.
