Kaspersky-Entdeckung: Staatstrojaner R2D2 existiert auch als 64-Bit-Version
Staatstrojaner auch als 64-Bit-Version verfügbar (Bild: Andreas Donath/Golem.de)

Kaspersky-Entdeckung

Staatstrojaner R2D2 existiert auch als 64-Bit-Version

F-Secure hat den Staatstrojaner-Installer entdeckt, Kaspersky Lab hat weitergeforscht - und die offene Zusammenarbeit der Konkurrenten hat funktioniert: Der deutsche Staatstrojaner ist in einer deutlich verbesserten Version entdeckt worden.

Anzeige

Die von staatlichen deutschen Stellen in Auftrag gegebene Schadsoftware mit dem Namen Backdoor/R2D2 (Microsoft-Eintrag) ist in einer vermutlich neueren und deutlich erweiterten Version entdeckt worden. Den "großen Bruder" des Staatstrojaners hat Kaspersky Lab gefunden und umfassend analysiert.

Die mutmaßlich neuere Version der dem CCC zugespielten Fassung kann auch moderne Systeme angreifen. Kaspersky fand die Version, nachdem F-Secure den Installer (Skype Capture Unit, scuinst.exe) entdeckt hatte. Dieser ist schon seit Dezember 2010 den Antivirenherstellern zugänglich, konnte jedoch bisher nicht zugeordnet werden.

Zertifikat muss auf 64-Bit-Systemen erst installiert werden

Dank F-Secures Hinweisen konnte Kaspersky die Schadsoftware aus der eigenen Sammlung zur Analyse extrahieren. Das Unternehmen fand dabei insgesamt fünf weitere Binärdateien und die Fähigkeit, auch auf 64-Bit-Systemen zu funktionieren. Der Staatstrojaner braucht die 64-Bit-Tauglichkeit aber nicht etwa, um mehr Speicher zu adressieren, sondern um überhaupt aktiv zu werden. Auf 64-Bit-Systemen müssen Kernelmodule digital signiert werden.

Das Kernel-Modul hat ein digitales Zertifikat, dem allerdings erst per Hand das Vertrauen ausgesprochen werden muss. So etwas ginge etwa bei direktem Zugriff auf das System. In so einem Fall lässt sich auch der Virenscanner deaktivieren. Interessanterweise ist das Modul mit einem Privilege Escalation Interface ausgestattet. Wozu die höheren Rechte genutzt werden, gibt Kaspersky aber nicht an.

Die neue Version des Staatstrojaners enthält eine veränderte Liste von Programmen, die überwacht werden dürfen. Die meisten sind allerdings bereits bekannt. Die Überwachung zielt auch hier nicht nur auf populäre Programme. So haben die Entwickler nicht nur daran gedacht, Internet-Explorer- und Firefox-Nutzer auszuspähen. Auch der Opera-Webbrowser wurde trotz des geringen Marktanteils mit einer Funktion bedacht.

Die Schadsoftware ist ein gutes Beispiel dafür, dass die Nutzung wenig verbreiteter Software gerade gegen solche gezielten Angriffe keinen Schutz bietet. Kaspersky listet noch die folgenden Programmdateien, die diese Trojaner-Version unterstützt: icqlite.exe, lowratevoip.exe, msnmsgr.exe, paltalk.exe, simplite-icq-aim.exe, simppro.exe, sipgatexlite.exe, skype.exe, skypepm.exe, voipbuster.exe, x-lite.exe, yahoomessenger.exe. Viele waren schon vorher bekannt.

Wie Heise Security herausgefunden hat, hilft die derzeitige Bekanntheit des Staatstrojaners Virenschutzprogrammen nicht. Nur wenige Änderungen an der Schadsoftware genügen, um den Signaturschutz auszuschalten. Sollte von staatlicher Seite die Software bereits angepasst worden sein, ist die Wahrscheinlichkeit sehr hoch, dass sie nicht entdeckt wird. Die Heuristiken schlagen bisher nur bei den Installationsdateien an. Wie F-Secure gibt auch Kaspersky an, dass nur der Installer über die Heuristiken erkannt wurde.

Werkzeuge, die derzeit bekannte Versionen des Staatstrojaners entfernen können, dürften dementsprechend ebenfalls nicht lange funktionieren. Ohnehin ist der Einsatz beispielsweise des Staatstrojaner-Removal-Tools von Bitdefender fragwürdig. Bei Schadsoftware, die Komponenten nachladen kann, gilt erst recht, dass ein System nur mit einer Neuinstallation gesäubert werden kann.


Threat-Anzeiger 20. Okt 2011

Warum diese Insellösung? Da sich deutsche bullen und deren kriminelle erfüllungsgehilfen...

Abseus 20. Okt 2011

das schon aber es muss sie trotzdem noch jemand anzeigen oder ein Geschädigter muss sie...

Ekelpack 20. Okt 2011

Der reine Wahnsinn. Friedrich ist echt nicht tragbar für einen Innenminister. Warum...

Charles Marlow 20. Okt 2011

Vor den Rechtsextremen muss man keine Angst haben. Die sind schon so vom BKA und...

Bibabuzzelmann 19. Okt 2011

Ist es nicht möglich über ein Programm die Echtheit der Certificate zu prüfen, das müsste...

Kommentieren



Anzeige

  1. Jasper ETL / Data Warehousing Experte (m/w)
    afb Application Services AG, München
  2. Senior Service Manager für TFS-Services (m/w) bei der evosoft GmbH
    evosoft GmbH, Nürnberg
  3. IT Consultant (m/w) IT-Architektur
    arvato distribution GmbH, Großraum Hannover oder Ostwestfalen
  4. Softwareentwickler (m/w)
    BVU Beratergruppe Verkehr + Umwelt GmbH, Freiburg

 

Detailsuche


Folgen Sie uns
       


  1. EU-Angleichung

    Welche Onlineshops keine Gratis-Retouren mehr erlauben

  2. MIT Media Lab

    Bildschirm gleicht Sehfehler aus

  3. Leere Symbolik

    Greenwald lehnt aus Protest Aussage im NSA-Ausschuss ab

  4. Technisches Komitee

    Debian beharrt auf mehreren Init-Systemen

  5. Stellar

    Kostenlose Kryptowährung soll Kunden locken

  6. Brigadier

    Kyoceras Saphirglas-Smartphone kostet 400 US-Dollar

  7. ZeroVM

    Virtuelle Maschine für die Cloud

  8. CDN

    Apple aktiviert offenbar sein Content Delivery Network

  9. Test Sacred 3

    Schnetzeln im Team

  10. Microsoft

    Enhanced Mitigation Experience Toolkit 5.0 freigegeben



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Programmcode: Ist das Kunst?
Programmcode
Ist das Kunst?
  1. Recht auf Vergessen Bundesverfassungsrichter kritisiert EuGH-Urteil
  2. Shamu Hinweise auf neues Nexus-Smartphone verdichten sich
  3. Translate Community Nutzer sollen Google-Übersetzungen verbessern

Nokia Lumia 930 im Test: Das Beste zum Schluss
Nokia Lumia 930 im Test
Das Beste zum Schluss
  1. Lumia 930 Nokias Windows-Phone-Referenz ab kommender Woche erhältlich
  2. Nokia Lumia 930 Windows-Phone-Referenzklasse kommt im Juli
  3. Smartphone Das schnellere 64-Bit-Déjà-vu

Destiny angespielt: Schöne Grüße vom Master Chief
Destiny angespielt
Schöne Grüße vom Master Chief
  1. Bungie Beta von Destiny für alle Spieler
  2. Bungie Drei Betakeys für Destiny
  3. Activison Destiny ungeschnitten "ab 16" und mit US-Tonspur

    •  / 
    Zum Artikel