# FinFisher

FinFisher, conosciuto pure come FinSpy, è un software di sorveglianza commercializzato da Lench Solutions plc, che distribuisce lo spyware attraverso canali di organizzazioni di polizia.
FinFisher può essere installato occultamente nei computer dei bersagli sfruttando carenze di sicurezza nelle procedure di aggiornamento di software non sospetti. La società produttrice è stata criticata da organizzazioni di difesa dei diritti umani per aver venduto queste risorse a Stati repressivi o non democratici noti per il fatto di sorvegliare e imprigionare i dissidenti politici. I dissidenti egiziani che avevano saccheggiato gli uffici della polizia segreta egiziana dopo l'abbattimento del presidente egiziano Hosni Mubarak riferirono di aver scoperto un contratto con Gamma International da 287 000 di euro per una licenza di uso del software FinFisher. Nel 2014 un cittadino americano citò in giudizio il governo etiope per aver installato surrettiziamente FinSpy sul suo computer in America ed averlo usato per intercettare le sue chiamate Skype e monitorare ogni utilizzo del computer da parte di un suo familiare per alcuni mesi.
Lench IT Solutions plc ha un ramo con sede nel Regno Unito, Gamma International Ltd in Andover (Inghilterra), e un ramo con sede in Germania, Gamma International GmbH a Monaco. Gamma International è una controllata del Gamma Group, specializzata in sorveglianza e monitoraggio, compresi attrezzature, software, e servizi di addestramento. Apparteneva asseritamente a William Louthean Nelson, schermato da una società di comodo nelle Isole Vergini britanniche. La società di copertura era guidata da un direttore nominato al fine di nascondere l'identità del beneficiario finale, che era Nelson, un sistema comune per le società offshore.
Il 6 agosto 2014 furono recuperati dalla rete interna di Gamma International e resi disponibili su Internet codice sorgente, tariffe, relazioni di assistenza, e altri dati relativi a FinFisher.

## Elementi della suite FinFisher

Oltre allo spyware, la suite FinFisher offerta da Gamma alla comunità dell'intelligence comprende il monitoraggio degli sviluppi in corso e l'aggiornamento di soluzioni e tecniche che integrano quelle sviluppate dagli organi di intelligence. La suite di software, che la società chiama "Remote Monitoring and Deployment Solutions", è in grado di prendere il controllo dei computer presi di mira e di catturare anche dati e comunicazioni cifrati. Usando "metodi avanzati di dispiegamento remoto" può installare software sui computer bersaglio. È disponibile un "IT Intrusion Training Program" che contiene addestramento nei metodi e nelle tecniche e nell'uso del software fornito dalla società.
La suite è commercializzata in arabo, inglese, tedesco, francese portoghese, e russo ed offerta in tutto il mondo alle fiere in cui si offrono sistemi di supporto all'intelligence, ISS, addestramento, e prodotti ad organi di polizia e intelligence.

## Metodo di infezione

FinFisher si installa in vari modi, tra cui finti aggiornamenti software, email con allegati insidiosi e falle di sicurezza di software diffusi. A volte la suite di sorveglianza si installa dopo che il "bersaglio" ha accettato l'installazione di un falso aggiornamento a software di uso comune. Nelle email è stato rilevato il codice che installa il malware. Il software, che è progettato per sfuggire al rilevamento dall'antivirus, ha versioni che funzionano su cellulari di tutte le marche principali.
Una falla di sicurezza in iTunes di Apple consentì a terze parti non autorizzate di usare le procedure di aggiornamenti online di iTunes per installare programmi non autorizzati. Gamma International propose ad autorità governative di sicurezza presentazioni, nel corso di fiere di sicurezza informatica, in cui descriveva come installare occultamente il software FinFisher sui computer dei sospetti, usando le procedure di iTunes.
La falla di sicurezza di iTunes che FinFisher avrebbe asseritamente sfruttato fu descritta la prima volta nel 2008 dal commentatore di sicurezza informatica Brian Krebs. Apple non vi pose rimedio per più di tre anni, fino a novembre 2011. La dirigenza Apple non fornì spiegazioni del grande ritardo nel rimediare a tale debolezza. I video pubblicitari della ditta per le fiere informatiche, in cui illustrava come infettare un computer con la suite di sorveglianza furono resi di pubblico dominio da WikiLeaks nel dicembre 2011.
Nel 2014 si è scoperto che il governo etiope aveva installato FinSpy sul computer di un cittadino americano attraverso un falso allegato email che sembrava un documento Microsoft Word.
È anche risultato che FinFisher è usato per prendere di mira gli oppositori politici. In Etiopia, per esempio, vengono usate foto di un gruppo di opposizione politica per "adescare" e infettare gli utenti.
Analisi tecnica del malware, metodi di infezione e sua persistenza tecnica sono state pubblicate nel blog Code And Security in quattro parti.

## Uso da parte di regimi repressivi

* L'ampio uso di FinFisher da parte di governi che affrontano resistenze politiche fu rilevato nel marzo 2011 dopo che manifestanti egiziani avevano assaltato il Mabahith Amn al-Dawla al-'Ulya (servizio di investigazioni per la sicurezza dello Stato, SSI) e trovato lettere di Gamma International UK Ltd., confermando che il SSI ne aveva usato una versione di prova per cinque mesi.
* Una notizia analoga nell'agosto 2012 riguardava email ricevute da attivisti del Bahrein e trasferite (attraverso un giornalista di Bloomberg News ai ricercatori informatici di Toronto Bill Marczak e Morgan Marquis-Boire nel maggio 2012. L'analisi delle email rivelò del codice (FinSpy) sviluppato per installare spyware nel computer del destinatario. Un portavoce di Gamma affermò che non era stato venduto alcun software al Bahrein e che il software scoperto dai ricercatori non era una copia legittima bensì una copia dimostrativa rubata, oggetto di reverse engineering o modificata. Nell'agosto 2014 Bahrain Watch affermò che la fuga di dati FinFisher conteneva prove indicanti che il governo del Bahrein stava usando il software per spiare gli oppositori, mettendo in evidenza comunicazioni tra il servizio assistenza Gamma International un cliente nel Bahrein, e identificando numerosi avvocati per i diritti umani, politici, attivisti e giornalisti che apparentemente erano stati presi di mira.
* Secondo un documento datato 7 dicembre 2012 inviato dal Ministro federale dell'Interno ai membri della Commissione finanza del parlamento tedesco, il Bundesnachrichtendienst, l'organo di sorveglianza federale, ha acquistato licenze di FinFisher/FinSpy, benché non vi sia certezza sulla legalità del software in Germania.
* Nel 2014 un cittadino americano citò il governo etiope per aver installato e usato FinSpy per registrare un ampio spettro di attività eseguite da utenti della macchina, il tutto mentre si trovavano in America. Tracce dello spyware inavvertitamente lasciate sul suo computer mostrano che le informazioni — tra cui registrazioni di dozzine di chiamate Skype — erano state surrettiziamente inviate ad un server segreto di controllo posto in Etiopia e controllato dal governo etiope. FinSpy era stato scaricato sul computer dell'attore quando questi aveva aperto un'email con un documento Microsoft Word allegato. L'allegato nascondeva un malware che infettò il suo computer. Nel marzo 2017 la United States Court of Appeals for the District of Columbia Circuit rilevò che la condotta del governo etiope era esonerata da responsabilità in forza del Foreign Sovereign Immunities Act.
* Nel 2015 si seppe che FinFisher era utilizzato dal 2012 nel programma di sorveglianza 'Fungua Macho' del presidente ugandese Yoweri Museveni per spiare il partito di opposizione ugandese, Forum for Democratic Change.

## Reporter senza frontiere

Il 12 marzo 2013 Reporter senza frontiere indicò Gamma International come una delle cinque "imprese nemiche di internet" e "mercenari dell'era digitale" per il fatto di vendere prodotti che si stavano usando o erano stati usati dai governi per violare i diritti umani e la libertà di informazione. La tecnologia FinFisher veniva usata in Bahrein e Reporter senza frontiere, assieme a Privacy International, il Centro europeo per i diritti costituzionali e umani (ECCHR), il Centro del Bahrein per i diritti umani, e Bahrain Watch presentarono un ricorso alla Organizzazione per la cooperazione e lo sviluppo economico (OECD), chiedendo al National Contact Point del Regno Unito di indagare ulteriormente sull'eventuale coinvolgimento di Gamma in Bahrein. Di conseguenza la ricerca ha mostrato che la tecnologia FinFisher era usata in Australia, Austria, Bahrein, Bangladesh, Gran Bretagna, Brunei, Bulgaria, Canada, Repubblica Ceca, Estonia, Etiopia, Germania, Ungheria, India, Indonesia, Giappone, Lettonia, Lituania, Macedonia del Nord, Malaysia, Messico, Mongolia, Paesi Bassi, Nigeria, Pakistan, Panama, Qatar, Romania, Serbia, Singapore, Sudafrica, Turchia, Turkmenistan, Stati Uniti, Emirati Arabi Uniti, Venezuela e Vietnam.

## Simulazione di Firefox

FinFisher è in grado di assumere le sembianze di altri programmi innocui, come Mozilla Firefox. Il 30 aprile 2013, Mozilla annunciò di aver inviato a Gamma una lettera di diffida per violazione del marchio commerciale. Gamma aveva creato un programma di spionaggio denominato 'firefox.exe', corredato perfino di un numero di versione e rivendicazioni di marchio commerciale tali da farlo sembrare software Firefox genuino.

## Rilevamento

In un articolo di PC Magazine, Bill Marczak (membro di Bahrain Watch e dottorando di ricerca presso la Università della California - Berkeley che stava studiando FinFisher) disse di FinSpy Mobile (spyware "mobile" di Gamma): "Come abbiamo visto per quanto riguarda la versione desktop di FinFisher, l'antivirus da solo non è sufficiente, dato che [FinFisher] è sfuggito alle scansioni antivirus". L'autrice dell'articolo Sara Yin, analista presso PC Magazine, prevedeva che i produttori di antivirus avrebbero probabilmente aggiornato le loro "firme" affinché riconoscessero FinSpy Mobile.
Secondo gli annunci di ESET, FinFisher e FinSpy sono riconosciuti dal software antivirus ESET come trojan "Win32/Belesak.D".
Altri fornitori di prodotti per la sicurezza affermano che i loro programmi bloccano qualunque spyware che conoscono e possono riconoscere (a prescindere da chi possa averlo lanciato), e Eugene Kaspersky, capo della società di sicurezza IT omonima, ha dichiarato, "Noi rileviamo tutto il malware indipendentemente dai suoi scopi e origine". Due anni dopo quella dichiarazione di Eugene Kaspersky nel 2012 nella Parte 2 del pertinente blog su Code And Security fu pubblicata una descrizione della tecnica usata da FinFisher per eludere la protezione Kaspersky.