Malware & Ameaças
Weeping Angel: MI5, CIA e o fake-off das Smart TVs por dentro
Como separar tela apagada e sistema ativo: EXTENDING, fake-off, cadeia de dados e limites do manual histórico. Simulação local sem captura de áudio.
Weeping Angel expõe uma diferença pouco intuitiva: tela apagada, processador ativo e equipamento fisicamente sem energia são estados distintos. O caso histórico permite estudar como uma interface transmite a sensação de desligamento enquanto outras partes do sistema continuam funcionando.
O projeto aparece no acervo Vault 7. A publicação de 21 de abril de 2017 descreve sua relação com EXTENDING, do MI5/BTSS, e colaboração com a CIA. A agência britânica aqui é MI5, não MI6. Esta análise identifica fatos documentados e usa modelos próprios para explicar engenharia de estados e coleta, sem atribuir ao vazamento o código didático apresentado.
O manual histórico delimita a capacidade
O manual EXTENDING descreve um implante para televisores Samsung da série F, gravação pelo microfone integrado, armazenamento e retirada de dados. A instalação documentada usa acesso próximo por USB. O estado fake-off mantém o processador funcionando enquanto a tela aparenta desligamento.
O documento também registra limitações de compartilhamento do microfone, sinais de atividade e dependência de condições do equipamento. Esses detalhes impedem a conclusão de que qualquer TV Samsung, atual ou antiga, pode ser ativada remotamente por essa ferramenta. Compatibilidade de modelo, firmware, periféricos e acesso inicial faz parte da capacidade.
O guia é documentação de uma versão histórica. Não é um código-fonte completo nem um inventário das capacidades atuais de uma agência. Neste artigo, os cálculos de buffer, o simulador e o roteiro de comparação são reconstruções didáticas originais.
Fake-off é uma transição de estado, não energia inexistente
Em sistemas embarcados, o evento “desligar” pode ser tratado por software. A implementação decide quais serviços parar, quais dispositivos suspender e quais indicadores mudar. Uma tela pode deixar de exibir imagem enquanto o sistema mantém tarefas de rede, relógio e armazenamento.
Um estado legítimo de standby também pode executar funções. Por isso, atividade de rede com a tela apagada não prova implante. O diagnóstico exige baseline do mesmo modelo e firmware, opções habilitadas e evidência do componente que produz a atividade. A apresentação visual é só uma observação da interface.
Evento do controle
↓
Decisão de energia no software
↓
Tela ───── indicadores ───── CPU ───── periféricos
↓
Estado realmente aplicado a cada componente
Tela apagada ≠ sistema inteiro sem energiaSimulação de estados sem microfone e sem gravação
O exemplo abaixo não acessa dispositivo, áudio, arquivo ou rede. Ele representa estados com valores booleanos. Sua finalidade é mostrar que o mesmo rótulo visual pode corresponder a estados internos diferentes. Os nomes não são estados extraídos do binário de Weeping Angel.
estados = {
'LIGADO': {'tela': True, 'cpu': True, 'coleta_simulada': False},
'STANDBY_LAB': {'tela': False, 'cpu': True, 'coleta_simulada': False},
'FAKE_OFF_LAB': {'tela': False, 'cpu': True, 'coleta_simulada': True},
'SEM_ENERGIA': {'tela': False, 'cpu': False, 'coleta_simulada': False}
}
def validar(estado):
if estado['coleta_simulada'] and not estado['cpu']:
raise ValueError('estado incoerente')
return estado
for estado in estados.values():
validar(estado)
assert not estados['FAKE_OFF_LAB']['tela']
assert estados['FAKE_OFF_LAB']['cpu']
assert not estados['SEM_ENERGIA']['coleta_simulada']
print('quatro estados, nenhuma captura de audio')A função impõe uma relação mínima: no modelo, uma tarefa de coleta depende de processamento. A variável de coleta é fictícia e não contém áudio. O controle negativo deve tentar criar coleta com CPU inativa e obter rejeição. Essa propriedade ajuda a organizar perguntas de investigação sem fabricar um implante.
No equipamento real, “CPU inativa” também precisa de definição. Um SoC pode ter domínios de energia, processadores auxiliares ou periféricos autônomos. Não extrapole a abstração do Python para uma medição de hardware. Use documentação do fabricante e compare observações instrumentadas.
Ilustração gerada de televisão e componentes genéricos. Não é uma fotografia do equipamento do manual nem demonstra microfone ou implante; revisão, firmware e periféricos delimitam a capacidade observada.
Do sinal ao arquivo: quatro decisões da cadeia de dados
Uma cadeia de áudio pode ser separada em aquisição, codificação, armazenamento e transmissão. Cada etapa tem um efeito diferente. A aquisição usa o periférico; a codificação altera a representação; o armazenamento conserva dados; a transmissão os entrega a outro componente. Um finding deve identificar qual etapa foi comprovada.
Para estudar dimensionamento, suponha apenas um sinal sintético de 16.000 amostras por segundo, 16 bits e um canal. PCM sem compressão ocupa 32.000 bytes por segundo; dez segundos exigem 320.000 bytes antes de headers e outros custos. Esse cálculo é um exemplo independente, não o perfil de gravação do manual.
Ele explica por que um sistema de coleta precisa de buffers, limites e política para ausência de conectividade. Se produzir dados mais rápido do que consegue transmitir, a fila cresce. Um projeto pode descartar, pausar ou armazenar; cada decisão deixa efeitos observáveis distintos. A ausência de tráfego em um instante não prova ausência de coleta local.
Criptografia da coleta não legitima a origem dos dados
Se o conteúdo sai cifrado, um observador de rede pode ver horários e volume sem ler o áudio. Isso não significa que a aquisição foi autorizada. Confidencialidade do transporte, identidade do coletor e consentimento do titular são decisões separadas.
Não é possível deduzir um algoritmo completo apenas porque um guia menciona uma chave RSA ou um arquivo cifrado. Padding, geração de chaves, formato e protocolo precisam de código ou especificação. Uma reconstrução honesta apresenta os requisitos que seriam necessários, sem afirmar que um detalhe desconhecido foi encontrado.
Para investigação, correlacione dispositivo, processo, destino e objeto armazenado. Preserve hashes e contexto. Um arquivo cifrado desconhecido não prova que contém gravações; a descrição do manual não substitui a análise do arquivo coletado em outro ambiente.
Rede, energia e armazenamento oferecem observações complementares
| Observação | O que pode indicar | O que não comprova sozinha |
|---|---|---|
| Rede ativa com tela apagada | Processamento ou serviço de standby | Gravação de áudio |
| Armazenamento crescendo | Produção de dados ou cache | Conteúdo e origem dos arquivos |
| Consumo elétrico persistente | Componentes energizados | Qual processo está executando |
| Aplicativo ou módulo desconhecido | Necessidade de análise de integridade | Atribuição automática ao MI5 ou CIA |
O valor está na interseção. Consumo, rede e armazenamento medidos no mesmo período podem orientar uma hipótese mais específica. Ainda assim, notificações, atualização, reconhecimento de voz e serviços legítimos precisam entrar na comparação.
Ficha técnica antes de comparar estados
Prepare uma ficha por exemplar: código completo do modelo, revisão de hardware, região, firmware instalado, periféricos conectados e configuração de energia e rede. O nome da família comercial é insuficiente para transferir uma observação para outro aparelho. Confirme a presença e a função de sensores na documentação específica; uma televisão com tela ou controle remoto não implica, por si só, microfone utilizável pelo software.
No ensaio, associe cada medição à ficha e ao estado esperado. Compare ligado, standby normal e ausência de alimentação quando isso for compatível com o equipamento. Se a captura não cobrir uma transição, marque o intervalo como não observado. Uma lacuna não pode virar evidência de gravação oculta.
Essa disciplina ajuda a testar comportamento de dispositivos atuais sem atribuir a eles a capacidade histórica descrita no manual de 2017. Tráfego residual, consumo de energia ou arquivos alterados pedem investigação adicional; a conclusão deve identificar a função observada, o exemplar examinado e os controles usados, preservando os limites de atribuição.
Um teste diferencial que preserva a pergunta
Em um laboratório autorizado, compare o mesmo dispositivo com uma imagem conhecida e uma configuração documentada. Registre firmware, periféricos, recursos de voz e modo de energia. Mantenha essas variáveis constantes quando mudar apenas uma opção. Caso contrário, uma diferença de consumo pode ser explicada por uma configuração legítima.
Use dados sintéticos para qualquer teste de uma função legítima de áudio. Não é necessário instalar o implante histórico para demonstrar que tela e energia são estados diferentes. As fixtures do exemplo também permitem testar o relatório: cada estado deve apresentar as dependências corretas e nenhum deles deve ser classificado automaticamente como comprometimento.
Uma avaliação do firmware exige proveniência da imagem, métodos de aquisição, integridade e capacidade de voltar a uma configuração conhecida. Alterar o equipamento antes de preservar evidências pode destruir a comparação. Identifique no relatório o que veio do manual, o que veio de uma medição e o que permaneceu uma hipótese.
MI5, MI6 e GCHQ: atribuição precisa faz parte da análise
O MI5 apresenta publicamente sua missão, enquanto o SIS/MI6 descreve sua atuação em inteligência externa. Cooperação entre serviços não permite trocar seus nomes em uma manchete técnica. Neste caso, a ligação publicada é EXTENDING/MI5 e colaboração com a CIA.
Também separe a atribuição de uma ferramenta da atribuição de um incidente. Encontrar uma técnica semelhante em um produto moderno não comprova reutilização do mesmo código nem presença da mesma agência. Sem uma relação verificável, o resultado é uma semelhança de mecanismo.
A lição para IoT e sistemas embarcados
Uma interface confortável pode ocultar a complexidade dos estados de hardware. Para auditar essa fronteira, examine o contrato do evento de desligamento e quais serviços permanecem ativos. Compare intenção da interface, decisão do software e efeito medido.
Weeping Angel é um caso sobre estados, aquisição e confiança no equipamento. A análise mais útil explica as dependências técnicas e suas limitações. Assim, o leitor entende por que um implante poderia manter coleta com a tela apagada, sem receber a falsa promessa de que um guia histórico descreve todas as televisões ou capacidades atuais.
