Anti-Viren-Experten haben einen ausgeklügelten Spionagevirus auf Rechnern vor allem in Russland und Zentralasien entdeckt. Dateien und E-Mails wurden in großem Stil entwendet. Zu den Zielen gehörten Regierungen, Botschaften, Forschungseinrichtungen, Militär und Energiewirtschaft.
Moskau – Sicherheitsexperten haben einen großangelegten Spionageangriff auf diplomatische Vertretungen, Regierungsorganisationen und Forschungsinstitute in Osteuropa und Zentralasien entdeckt. Die Fachleute der russischen Sicherheitssoftware-Firma Kaspersky berichten, dass die Spionageprogramme über fünf Jahre hinweg unentdeckt auf den Computern und in den Netzwerken der betroffenen Organisationen systematisch nach hochsensiblen Dokumenten mit vertraulichen, oft geopolitisch relevanten Inhalten suchten. Weil die Spionagesoftware so lange unentdeckt blieb, haben die Kaspersky-Experten sie “Red October” (kurz Rocra) getauft – wie das lautlose U-Boot in Tom Clancys Thriller.
Die Angreifer nutzen demnach hochspezialisierte Schadprogramme. Die russischen Experten zeigen sich beeindruckt von der dabei genutzten Infrastruktur: Die Komplexität der Rocra-Software könnte es mit Flame aufnahmen, schreiben sie. Der Hightech-Schädling Flame galt bei der Entdeckung Anfang 2012 als eine der komplexesten Bedrohungen, die je entdeckt worden sind.
Rocras Komponenten spionierten verschiedene Plattformen aus: PC, iPhones, Nokia- und Window-Mobile-Smartphone sowie Business-Hardware des US-Konzerns Cisco.
Kommando-Rechner haben die Kaspersky-Experten an 60 verschiedenen Serverstandorten beobachtet, davon viele in Russland und Deutschland. Mit der Virenfamilie um Flame, Gauss und Duqu, deren Ziele sich vor allem in Iran und im Nahen Osten befinden, hat Rocra aber nichts zu tun, glauben die Kaspersky-Forscher. Man habe keine Verbindungen finden können, Rocra sei wesentlich “personalisierter” als Flame, Duqu und Gauss.
Wer ist betroffen?
Kaspersky schreibt, man habe “mehrere hundert” befallene Rechner weltweit entdeckt. Betroffen seien vor allem Computer und Netzwerke in Regierungsstellen, diplomatischen Vertretungen, Forschungsinstituten, im Nuklearsektor, in der Öl- und Gasindustrie, in Luftfahrtunternehmen und im Militär.
Kaspersky hat zudem über Monate hinweg analysiert, in welchen Staaten die eigene Software Spuren von Rocra-Infektionen findet. So entstand diese Rangliste der Infektionen nach Standort der betroffenen Systeme (in Klammern steht jeweils die Zahl der infizierten Systeme):
Russland (35)
Kasachstan (21)
Aserbaidschan (15)
Belgien (15)
Indien (14)
Afghanistan (10)
Armenien (10)
Iran (7)
Turkmenistan (7)
Außerdem betroffen sind demnach jeweils fünf oder sechs Rechner oder Netzwerke in der Ukraine, den USA, Vietnam, Weißrussland, Griechenland, Italien, Marokko, Pakistan, der Schweiz, Uganda und den Vereinigten Arabischen Emiraten.
Was suchten die Täter?
Laut Kaspersky wurden Dateien in großem Stil von den infizierten Rechnern kopiert. Die Beschreibung klingt eher nach einer breit angelegten Erkundung als nach zielgerichteten Angriffen. Die Täter haben nach Textdateien, Tabellen, Schlüsseln für die Kryptografie-Programme PGP und GnuPG gesucht. Auch E-Mails wurden kopiert, angeschlossene Laufwerke und Smartphones ausgelesen.
Dateiendungen, nach denen Rocra Ausschau hielt, deuten laut Kaspersky auch auf ein besonderes Interesse an Dateien hin, die mit dem von der EU und Nato genutzten Verschlüsselungsprogramm Acid Cryptofiler in Zusammenhang stehen. Die Dateiendung xia könnte ein Hinweis auf die deutsche Verschlüsselungssoftware Chiasmus sein.
Wie wurde der Angriff entdeckt?
Auf den Angriff wurde Kaspersky nach eigenen Angaben von einem Geschäftspartner hingewiesen, der anonym bleiben möchte. Die Analyse des entdeckten Schädlings brachte die Forscher dann auf die Spur weiterer Opfer. Mit einer Art Fallenkonstruktion, einem sogenannten Sinkhole, identifizierte Kaspersky schließlich sechs der 60 Kontrollserver, von denen die befallenen Rechner Befehle empfangen.
Wie gingen die Angreifer vor?
Die Attacken waren offenbar genau auf die jeweiligen Opfer zugeschnitten. So verschickten die Angreifer per E-Mail Dokumente, die für die Opfer interessant zu sein schienen. Als Beispiel präsentiert Kaspersky den Screenshot einer Werbeanzeige für ein gebrauchtes Diplomatenfahrzeug. Spätere Infektions-E-Mails seien offenbar auf Basis früher entwendeter Daten passgenau aufgesetzt worden. Die Dokumente waren mit einem Schadcode kombiniert, der bereits bekannte Sicherheitslücken ausnutzte, und zwar in Microsoft Word und Excel.
Sobald der Empfänger einen solchen Dateianhang öffnete, wurde ein Trojaner in die Rechner eingeschleust, der dann wiederum einen weiteren Schadcode aus einer gewaltigen Bibliothek nachlud. Gesteuert wurden die gekaperten Rechner dann von einer Kaskade von 60 sogenannten Command-&-Control-Servern (C&C). Die seien so hintereinander geschaltet, dass es unmöglich sei, die eigentliche Quelle der Steuerbefehle auszumachen, so Kaspersky.
Die Spionagewerkzeuge, die nachgeladen wurden, sind vielfältig und ausgeklügelt. Über tausend Software-Module habe man gefunden, die 34 verschiedene Funktionen erfüllten. Manche Module erkundeten das befallene Netzwerk, kopierten die Surf-History des installierten Browsers oder prüften, welche Laufwerke angeschlossen waren. Andere waren auf Passwort-Klau spezialisiert oder darauf, gleich den gesamten E-Mail-Verkehr oder ganze Verzeichnisse von dem befallenen Rechner zu kopieren. Andere Module waren auf das Auslesen von angeschlossenen USB-Laufwerken spezialisiert, einige sogar auf das Wiederherstellen gelöschter Daten auf solchen Laufwerken.
Auch an infizierte Rechner angeschlossene Mobiltelefone kann Rocra übernehmen oder zumindest auslesen, die Kontaktliste beispielsweise. Fast schon selbstverständlich, dass die Angreifer auch Hintertüren auf den befallenen Rechnern und Telefonen installierten, um später weitere Befehle ausführen oder Software nachladen zu können. Rocra überträgt die gefundenen Dateien schließlich gepackt und verschlüsselt über das Internet an Steuerungsrechner.
Wer könnte dahinterstecken?
Kaspersky zufolge enthält die Schadsoftware Hinweise auf Entwickler aus mindestens zwei unterschiedlichen Nationen. Die Exploits, also die Teile des Schadcodes, die bestimmte Sicherheitslücken ausnutzen, “scheinen von chinesischen Hackern entwickelt worden zu sein”, schreiben die Autoren des Berichts. Sie seien in der Vergangenheit auch schon bei Cyberangriffen gegen tibetische Aktivisten und Ziele aus dem Energie- und Militärbereich in Asien eingesetzt worden. Solche Exploits könnten auch auf dem Schwarzmarkt eingekauft worden sein. Der Malware-Code selbst aber scheine von “russischsprachigen” Entwicklern zu stammen.
So tauchte im Programmcode beispielsweise der russische Begriff “Zakladka” auf. Es kann Grundstein heißen oder für etwas “Eingebettetes” stehen. Der Begriff könnte aber auch “Lesezeichen” oder einfach “nicht näher definierte Funktion” bedeuten. Damit könnte aber auch ein “in der Wand einer Botschaft verstecktes Mikrofon” gemeint sein, heißt es in dem Kaspersky-Bericht.
…
14. Januar 2013, 18:37 Uhr
Von Konrad Lischka und Christian Stöcker
Find this story at 14 Januar 2013
© SPIEGEL ONLINE 2013