Red October: Großangriff auf IT-Systeme von Behörden
Kaspersky Lab hat jetzt auf eine mindestens seit fünf Jahren laufende Cyberspionage-Kampagne hingewiesen. Die von dem Sicherheitsexperten “Red October” oder “Roter Oktober” genannte Aktion zielt auf Regierungssysteme beispielsweise in Botschaften ab. Die dahinterstehende Organisation verwendet kyrillische Schrift. Das Hauptziel der Angriffswelle ist Russland.
Auf den russischen Ursprung weisen Kaspersky zufolge die Registrierungsdaten des Kommandoservers und zahlreiche Artefakte in den verwendeten ausführbaren Dateien hin. Auch versuche die Malware, die Zeichenkodierung infizierter Systeme auf “1251” umzustellen. “Dies ist nötig, um Dateien und Verzeichnisse mit kyrillischen Buchstaben im Namen anzusprechen.” Kyrillisch schreiben Menschen außer in Russland aber auch in Bosnien-Herzegowina, Bulgarien, Serbien, Tadschikistan, der Ukraine und Weißrussland.
Es gibt “keine Beweise im engeren Sinne”, dass ein Staat hinter der Spionage steckt, wie Vitaly Kamluk von Kaspersky gegenüber TechWeekEurope erklärt hat. Klar sei, dass man bisher wenige derart gezielte Kampagnen gesehen habe. “Die Angreifer hinter ‘Roter Oktober’ scheinen hinter spezifischen Organisationen her zu sein. Sie sind an hochwertigen, hochrangigen Informationen interessiert. Das erklärt, warum die Zahl infizierter Maschinen so niedrig ist – knapp über 300. Jedes Ziel wurde extra ausgesucht.”
Nicht alle Ziele hätten außerdem dieselbe Binärdatei erhalten. “In der Malware ist eine Nutzer-ID zu finden, was zeigt, dass sie für jedes Ziel separat kompiliert wird.” Der eigentliche Code sei allerdings nicht neu, sondern eine Weiterentwicklung einer chinesischen Malware. Den Angreifern sei es gelungen, Daten von zahlreichen Geräten zu stehlen, darunter PCs und iPhones, aber auch Smartphones anderer Hersteller, Wechselfestplatten und Netzwerkausrüstung etwa von Cisco.
Die meisten infizierten Systeme – nämlich 35 – befnden sich in Russland. Es folgt Kasachstan mit 21. In Aserbaidschan, Belgien und Indien wurden je 15 Rechner befallen. Zu den Zielen zählen Forschungsstellen von Regierungen in Kasachstan, Russland und Weißrussland, aber auch Botschaften im Iran, in Irland und Russland. Außerdem wurden Energie- und vor allem Kernenergiekonzerne sowie Militärzentralen in Kasachstan und Russland infiziert. Alle Zahlen beziehen sich ausschließlich auf Kaspersky-Kunden; die Zahl der insgesamt ausspionierten Systeme dürfte höher sein.
Die Malware wurde durch sogenanntes Speerphishing verteilt – also in Form von gezielt versandten E-Mails, die Anwender zum Download einer Malware bringen sollten. Anschließend installierte der Kommandoserver bestimmte Module nach. Auf iPhones griffen die Infektionen nicht über, stahlen deren Daten aber via iTunes. Auf Windows Phones fand sich direkt Schadcode. Unter anderem versuchte die Malware, Daten von Verschlüsselungssystemen zu stehlen. Darunter war eines, das auch das Europäische Parlament und die Europäische Kommission seit Sommer 2011 einsetzen.
Um sich zu tarnen, schufen die Spione eine Kommandoserver-Architektur mit 60 Domainnamen in diversen Ländern. Als besonders raffiniert stuft Kaspersky ein Modul ein, das eine erneute Infektion von Systemen ermöglicht, zu denen der Kontakt abgebrochen scheint. “Diese Kampagne verwendet eine Reihe einmaliger Module, und das ist eines davon”, sagt Kamluk. “Es wird als Plug-in für Microsoft Office oder Acrobat Reader installiert. Es wartet darauf, dass eine ganz bestimmte Datei geöffnet wird. Darin stecken keine besonderen Schwachstellen, aber eine digitale Kennung, die das Plug-in prüft. Wenn die Kennung zur Signatur passt, wird das Modul versuchen, eine eingebettete, verschlüsselte Executable zu entpacken und auszuführen.” Eine solche Datei, die nicht als Malware erkennbar ist, schickten die Kriminellen an Zielsysteme, zu denen sie den Kontakt verloren hatten.
[mit Material von Tom Brewster, TechWeekEurope.co.uk]