Cyber-Security - Adlas - Magazin für Sicherheitspolitik

AUFRÜSTUNG
deckt wurde. Gauss verfügt im Gegensatz zu Duqu über keine Replikationsmechanismen
und ist im direkten Vergleich ein modernisiertes und sehr gezielt
eingesetztes Aufklärungswerkzeug, welches vor allem auf das Ausforschen
einzelner Personen abzielt. Gauss sammelt zu diesem Zweck insbesondere
Informationen über Social-Media, Email- und Online-Zugangsdaten, die
Historie der besuchten Webseiten sowie Cookies, und sendet diese Informationen
verschlüsselt an die Command & Control-Server zurück.
Neben Stuxnet hat in den letzten Jahren zudem vor allem das im März
2012 entdeckte »Flame« für Aufsehen gesorgt, das auf Computersystemen im
Iran, Israel/Palästina, Libanon und Saudi-Arabien entdeckt wurde und in
Teilen möglicherweise bereits seit 2007 aktiv war. Flame wurde wie Stuxnet
auf Basis einer eigens entwickelten Programmierplattform realisiert, auf der
vermutlich auch weitere Projekte entstanden, und zweifelsohne für Spionage
und zum Sammeln von Informationen eingesetzt.
Im Gegensatz zu den bisherigen Typen ist Flame aber sehr viel umfangreicher
und größer, da es auf eine breite Streuung und eine tiefe und detaillierte
Infiltration ausgelegt ist. Flame verfügt über Programmbestandteile die es erlauben,
Daten intensiv zu analysieren, komprimierte Dateien sowie lokale Datenbanken
zu durchsuchen und die Verschlüsselung von Daten anzugreifen.
Darüber hinaus war Flame in der Lage, neben dem Aufzeichnen von Bildschirminhalten,
Tastatureingaben und Audioübertragungen, weitere Programmbestandteile
von den Command & Control-Servern nachzuladen. Mit
COMMAND & CONTROL SERVER
Um infizierte Computer aus der Ferne zu kontrollieren, Daten zu entnehmen
oder gewünschte Schadfunktionen gezielt auszuführen, verwenden Angreifer
oft sogenannte Command & Control-Server (C&C) die als Zwischenschritt zwischen
Angreifer und Ziel stehen. Diese Server sind öffentlich im Internet verfügbare
Computer, deren Internet-Adressen in die Malware eingebaut werden, die
dann ihre Daten an diese Server senden oder in regelmäßigen Abständen anfragen,
ob neue, vom Angreifer hinterlegte Befehle vorliegen, um diese auf dem
infizierten System auszuführen. Ein Angreifer kann mit einem C&C-Server unzählige
infiltrierte Systeme kontrollieren und indirekt steuern.
Hilfe dieser nachträglichen Erweiterbarkeit wäre auch ein breite Schadwirkung
durch das simultane Löschen von Computerdaten oder der erzwungene
Ausfall von Computern durch bewusstes Zerstören der Betriebssysteme realisierbar
gewesen.
Von den Command & Control-Servern, die bei Flame zum Einsatz kamen,
sind einige aktuell noch online und in der Lage, mit vier verschiedenen
Schadprogrammen zu kommunizieren und Daten auszutauschen. Mit
Flame selbst und einer unlängst entdeckten, reduzierten Version von Flame,
»SPE« oder auch »Mini-Flame« getauft, sind bisher nur zwei dieser
vier Programme bekannt. Es ist daher zu vermuten, dass die Flame-
Plattform weiterhin verwendet wird.
Lohnt sich das alles? Im Fall
von Stuxnet vermutlich eher nicht.
Zwischen den vier bisher entdeckten Schadprogrammen bestehen auffällige
Ähnlichkeiten. Zum einen entstammen Duqu und Stuxnet beide der
Plattform Tilded. Zum anderen legen Analysen der Quellcode-
Bestandteile, der Programmierstruktur sowie identische Programmcode-
Passagen den Schluss nahe, dass die Flame-Plattform und Tilded zwar
von zwei getrennten Entwicklerteams realisiert wurden, dass diese aber
einen gemeinsamen Ressourcenpool verwendeten und eine enge Kooperation
bestand. Dieser Schluss wird zum einen dadurch bestärkt, dass Flame
und Duqu jeweils einige der Zero-Day-Exploits verwenden die bereits
bei Stuxnet eingesetzt wurden. Zum anderen wurde die Infektionsmethodik
des infiziertem USB-Sticks bei Flame, Stuxnet und Gauss nahezu identisch
implementiert und für das Eindringen in die Zielsysteme angewendet.
Die Verwendung und Kombination vieler unterschiedlicher Technologien
und der enorme Entwicklungsaufwand stellen, neben der dafür notwendigen
Informationsbeschaffung auf Basis geheimdienstlicher Tätigkeiten, die Beson-
>>
ADLAS 1/2013 ISSN 1869-1684 10