La Oficina de Tailored Access Operations (español: Operaciones de Acceso a la medida o TAO por sus siglas en inglés), estructurada como S32,es una unidad élite de recopilación de inteligencia relacionada con la ciberguerra de la Agencia de Seguridad Nacional (NSA por sus siglas en inglés).
La TAO identifica, vigila, infiltra y reúne información de los sistemas informáticos de manera doméstica, así como de los utilizados por entidades extranjeras a los Estados Unidos.
Historia
Red Team El Red Team fue creado en 1997 para llevar a cabo la Operación Eligible Receiver, buscaba ver los límites del daño que los hackers de ese entonces podrían hacer, donde humillaron al equipo de ciberseguridad del Departamento de Defensa, pero su operación fue detenida durante su funcionamiento para no interrumpir las operaciones de la milicia estadounidense. Por ello, 4 personas se enfocaron en volver este grupo una sección permanente de la NSA por lo valioso que era tener un equipo así de su lado, Michael V. Hayden, Bill Marshall, Bill Black y Ken Minihan. Los cuales fueron juntando diferente personal de varias ramas de la NSA, hasta que a finales del 2000 se consolidaron en la TAO; tras los ataques del 11-S pasaron a ser cientos de empleados encargados de la parte más importante de la NSA.The TAO of Cyber Warfare: Dark Territory
Previo a 2013 la existencia de la oficina era un rumor a voces, donde nadie sabía a ciencia cierta qué era.Para este año ya habían alrededor de 1.000 hackers, que no eran necesariamente empleados de la propia NSA, ya que, al haber expandido operaciones, necesitaban más personal, así que contrataban de manera externa a expertos en ciberseguridad con experiencia previa en sectores de inteligencia, buscando a personas con atención obsesiva con los detalles.
Snowden Edward Snowden recibió una oferta de volverse parte de las TAO, pero rechazó la oferta,entrando a una agencia de inteligencia privada que era contratada de manera externa por la NSA, llamada Booz Allen. Al ver la vigilancia que hacía la NSA decidió filtrar varios archivos a The Guardian y The Washington Post el 9 de junio de 2013, donde las operaciones de vigilancia global de la TAO fueron el centro de la tormenta.pagina=24|miniaturadeimagen|Una referencia a la Oficina de Tailored Access Operations en una diapositiva acerca de XKeyscore. Uno de los archivos filtrados por Snowden.|259x259pxEn uno de los documentos filtrados por Snowden, describe el trabajo del centro de la siguiente manera "la TAO cuenta con plantillas de software que le permite infiltrarse en hardware de uso común, incluyendo routers, conmutadores y cortafuegos de múltiples proveedores". Según The Washington Post, los ingenieros de la TAO prefieren intervenir redes en lugar de ordenadores aislados, ya que normalmente hay muchos dispositivos conectados a una única red.
Ante la cantidad de información filtrada, distintas compañías de seguridad buscaron maneras de capturar a las TAO en alguna de sus operaciones, con sólo una lográndolo, Kaspersky, con su reporte de 2015, “Equation Group: Questions And Answers”, donde nombraban a la TAO Equation Group por su uso preferido de algoritmos complejos para evitar la detección de sus métodos, siendo algo tan exagerado que era obvio que era un grupo muy selecto con altas capacidades, con el tiempo y recursos para poder hacer ataques así de sofisticados.
The Shadow Brokers
El 13 de agosto de 2016, un usuario llamado shadowbrokerss en Twitter o nombres similares en otras redes sociales como GitHub o pastebin, hicieron un anuncio de la subasta de herramientas usadas por el "Equation Group" (la TAO). Para demostrar legitimidad, en su post de pastebinEquation Group - Cyber Weapons Auction publicaron 2 ZIP protegidos con contraseña, uno de ellos venía con la contraseña en la publicación ("theequationgroup"), dentro del cual estaban las herramientas JETPLOW, EPICBANANA, EXTRABANANA, herramientas hechas para vulnerar cortafuegos de grado industrial, las cuales fueron usadas y comprobadas por Cisco como legítimas; la contraseña del segundo archivo no había sido publicada y se planteaba que lo que estaba dentro era “mejor que Stuxnet”, el acceso estaba siendo subastado de manera pública con una dirección bitcoin por 1.000.000 de esa moneda. miniaturadeimagen|Herramienta JETPLOW de la TAO. El 31 de octubre de 2016 publicaron otro dump de información en el sitio Medium, con el nombre Trick or Treat donde filtraron el los servidores de víctimas de la TAO, estos siendo así como los proxies usados para los ataques. Estos eran 352 servidores que mostraban 49 países como objetivos, China, Japón y Corea siendo los primeros tres, 32 de las direcciones de las totales fueron institutos educativos de Taiwan y China.Así como la Secretaría de Gobernación, Secretaría de Desarrollo Social y Universidad Nacional Autónoma de México.
Tras seguir sin un comprador de todos sus productos, por ahora 10.000 bitcoin, se hicieron una cuenta en una plataforma de la Darknet llamada ZeroNet, donde comenzaron a vender los archivos por separado, de 10 a 100 bitcoins por exploit, donde se encontraban archivos como DANDERSPRITZ y FUZZBUNCH, hechos para la infiltración y manipulación sin detección, así como otros exploits que habían sido descritos en los archivos publicados por Snowden.Con estas publicaciones provocaron una ola de parches masivos en diversas compañías.
El 8 de abril de 2017 hicieron otra publicación en Medium, donde se quejaron del gobierno de Trump por haberlos traicionado, en un dump llamado Don’t Forget Your Base,al final de la publicación estaba la contraseña para el segundo archivo ZIP, el cual contenía herramientas para vulnerar prácticamente cualquier sistema operativo, desde populares hasta de nicho o militares, todo gratis y disponible.Una semana más tarde publicaron otro dump en Steemit, llamado Lost In Translation,que contenía herramientas específicamente dedicadas para vulnerar Windows y Swift, así como los reportes del uso de estas herramientas provenientes de dentro de la NSA sin censurar los nombres de las personas involucradas. Dentro de estas herramientas estaba ETERNALBLUE, el cual era en esencia una manera de acceder a cualquier dispositivo de Windows en el mundo sin ningún problema o detección y ser controlado de manera remota con DOUBLEPULSAR. Esto causó que se ocurrieran los ataques de ransomware de WannaCry y Not_Petya. izquierda|miniaturadeimagen|287x287px|Captura de Pantalla de varias de las herramientas filtradas por The Shadow Brokers. Durante este mes comenzaron a responder a las cuentas de twitter de los empleados de la TAO, como por ejemplo, Jake Williams, un investigador de ciberseguridad que había estado trabajando en las TAO de manera clasificada,incluso amenazándolos con doxxearlos.
En octubre hicieron su último comunicado quejándose de Estados Unidos y sus discursos. Tras eso desaparecieron.
Muchas pistas que unan los hilos de estas historias y su relación con la TAO no son de conocimiento público. Pero hay indicadores que dirigen a posibles trabajadores dentro de Kaspersky, quienes ya tenían conocimiento y posesión de este tipo de herramientas, al estar buscando las herramientas de la TAO por medio de sus antivirus,que supuestamente fueron borradas por órdenes del director,pero las publicaciones de TSB coinciden con momentos clave durante la cobertura negativa occidental del gobierno Ruso durante disputas con Estados Unidos. Es claro que no actuaban por dinero porque existe el mercado de la venta de Zero-Day Exploits, y pudieron ir por ahí fácilmente de manera incógnito, pero decidieron buscar activamente la luz pública y que esta fuera la mayor posible al insultar a los medios de comunicación que cubriera los temas, así como crear polémicas con sus declaraciones. También se especula en si fue un trabajo desde dentro de la TAO. En ambas teorías el broken english de los comunicados se ve como algo performativo para señalar a Rusia.
Esta filtración los atrasó años en trabajo y herramientas.
Actualmente el centro se llama Computer Network Operations (español: Operaciones de Redes de Computadora).
Organización En la actualidad, la TAO es "el componente más grande y más importante de la Signals Intelligence Directorate (en español, Dirección de Inteligencia de Señales o SID por sus siglas en inglés)[https://www.aclu.org/files/assets/eo12333/NSA/Signals%20Intelligence%20Directorate%20%28SID%29%20Management%20Directive%20422%20United%20States%20SIGINT%20System%20Mission%20Delegation.pdf FOIA #70809 (publicado el 19-09-2014)de la NSA", que cuenta con más de 1000 piratas informáticos, militares y civiles, analistas de inteligencia, ingenieros eléctricos, especialistas en selección de objetivos y diseñadores de hardware y software.
La sede de la TAO se denomina Remote Operations Center (español: Centro de Operaciones Remoto o ROC por sus siglas en inglés) y se encuentra en la oficina central de la NSA en Fort Meade, Maryland. La TAO también se ha expandido a las instalaciones de NSA Hawái (Wahiawa, Oahu), NSA Georgia (Fuerte Gordon, Georgia), NSA Texas (San Antonio, Texas) y NSA Colorado (Base Buckley de la Fuerza Aérea, Denver).
Está organizada de la siguiente manera:
S321 – Centro de Operaciones Remotas (ROC): 600 empleados reúnen información de alrededor del mundo. S321? – Centro de Operaciones de Redes (NOC) S321? – División de Operativos Alistados (ORD) S321? – División de Operaciones Interactivas (IOD) S321? – División de Operaciones de Producción (POD) S321? – División de Operaciones de Acceso (AOD) S322 – Rama de Tecnología Avanzada de Redes (ANT) S3221 – (Software de Persistencia) S3222 – (Implantes de Software) S32221 – ? S32222 – (Routers, servidores, etc.) S3223 – (Implantes de Hardware) S3224 – ? S32241 – ? S32242 – (señales GSM) S32243 – (Radar retroreflector) S323 – Rama de Tecnologías de Redes de Información (DNT): Desarrolla spyware automatizado.marco|Logo de la DNT S3231 – División de Acceso (ACD) S32313 – Rama de Aplicación de Vulnerabilidades S3232 – División de Tecnologías de Redes Cibernéticas (CNT) S3234 – División de Tecnologías Computacionales (CTD) S3235 – División de Tecnología de Redes (NTD) S32354 – STDP (FASHIONCLEFT) S324 – Rama de Tecnologías de Redes de Telecomunicación (TNT): Mejorar los métodos de hackeo de redes y computadoras. S32423 – ? S325 – Rama de Tecnologías de Infraestructura de Misiones (MIT): Opera el software provisto arriba. S326 – Operaciones de Acceso S3261 – Acceso y Desarrollo de Objetivos S327 – Requisitos y Objetivos (R&T) S328 – Rama de Operaciones de Tecnologías de Acceso (ATO): Supuestamente incluye personal secundado por la CIA y el FBI, que llevan a cabo lo que son descritas como "operaciones fuera de línea", que significa que organizan a agentes de la CIA para plantar secretamente dispositivos de escucha en computadoras y sistemas de telecomunicaciones en ultramar, para que los hackers de la TAO puedan accederlas de manera remota desde el Fort Meade. Submarinos especialmente equipados, actualmente el USS Jimmy Carter, son usados para interceptar cables de fibra óptica alrededor del mundo.marco|Logo de la ATO S3283 – Operaciones de Acceso Expedicionario (EAO) S3285 – División del equipo de Persistencia POLITERAIN S32P – Integración del Planeo de Programas de la TAO S32? – Equipo de Guerra en Redes (NWT) S32X – ?
Ubicaciones virtuales miniaturadeimagen|Ilustración de la herramienta QUANTUMSQUIRREL