Staatstrojaner auch als 64-Bit-Version verfügbar
Staatstrojaner auch als 64-Bit-Version verfügbar (Bild: Andreas Donath/Golem.de)

Kaspersky-Entdeckung

Staatstrojaner R2D2 existiert auch als 64-Bit-Version

F-Secure hat den Staatstrojaner-Installer entdeckt, Kaspersky Lab hat weitergeforscht - und die offene Zusammenarbeit der Konkurrenten hat funktioniert: Der deutsche Staatstrojaner ist in einer deutlich verbesserten Version entdeckt worden.

Anzeige

Die von staatlichen deutschen Stellen in Auftrag gegebene Schadsoftware mit dem Namen Backdoor/R2D2 (Microsoft-Eintrag) ist in einer vermutlich neueren und deutlich erweiterten Version entdeckt worden. Den "großen Bruder" des Staatstrojaners hat Kaspersky Lab gefunden und umfassend analysiert.

Die mutmaßlich neuere Version der dem CCC zugespielten Fassung kann auch moderne Systeme angreifen. Kaspersky fand die Version, nachdem F-Secure den Installer (Skype Capture Unit, scuinst.exe) entdeckt hatte. Dieser ist schon seit Dezember 2010 den Antivirenherstellern zugänglich, konnte jedoch bisher nicht zugeordnet werden.

Zertifikat muss auf 64-Bit-Systemen erst installiert werden

Dank F-Secures Hinweisen konnte Kaspersky die Schadsoftware aus der eigenen Sammlung zur Analyse extrahieren. Das Unternehmen fand dabei insgesamt fünf weitere Binärdateien und die Fähigkeit, auch auf 64-Bit-Systemen zu funktionieren. Der Staatstrojaner braucht die 64-Bit-Tauglichkeit aber nicht etwa, um mehr Speicher zu adressieren, sondern um überhaupt aktiv zu werden. Auf 64-Bit-Systemen müssen Kernelmodule digital signiert werden.

Das Kernel-Modul hat ein digitales Zertifikat, dem allerdings erst per Hand das Vertrauen ausgesprochen werden muss. So etwas ginge etwa bei direktem Zugriff auf das System. In so einem Fall lässt sich auch der Virenscanner deaktivieren. Interessanterweise ist das Modul mit einem Privilege Escalation Interface ausgestattet. Wozu die höheren Rechte genutzt werden, gibt Kaspersky aber nicht an.

Die neue Version des Staatstrojaners enthält eine veränderte Liste von Programmen, die überwacht werden dürfen. Die meisten sind allerdings bereits bekannt. Die Überwachung zielt auch hier nicht nur auf populäre Programme. So haben die Entwickler nicht nur daran gedacht, Internet-Explorer- und Firefox-Nutzer auszuspähen. Auch der Opera-Webbrowser wurde trotz des geringen Marktanteils mit einer Funktion bedacht.

Die Schadsoftware ist ein gutes Beispiel dafür, dass die Nutzung wenig verbreiteter Software gerade gegen solche gezielten Angriffe keinen Schutz bietet. Kaspersky listet noch die folgenden Programmdateien, die diese Trojaner-Version unterstützt: icqlite.exe, lowratevoip.exe, msnmsgr.exe, paltalk.exe, simplite-icq-aim.exe, simppro.exe, sipgatexlite.exe, skype.exe, skypepm.exe, voipbuster.exe, x-lite.exe, yahoomessenger.exe. Viele waren schon vorher bekannt.

Wie Heise Security herausgefunden hat, hilft die derzeitige Bekanntheit des Staatstrojaners Virenschutzprogrammen nicht. Nur wenige Änderungen an der Schadsoftware genügen, um den Signaturschutz auszuschalten. Sollte von staatlicher Seite die Software bereits angepasst worden sein, ist die Wahrscheinlichkeit sehr hoch, dass sie nicht entdeckt wird. Die Heuristiken schlagen bisher nur bei den Installationsdateien an. Wie F-Secure gibt auch Kaspersky an, dass nur der Installer über die Heuristiken erkannt wurde.

Werkzeuge, die derzeit bekannte Versionen des Staatstrojaners entfernen können, dürften dementsprechend ebenfalls nicht lange funktionieren. Ohnehin ist der Einsatz beispielsweise des Staatstrojaner-Removal-Tools von Bitdefender fragwürdig. Bei Schadsoftware, die Komponenten nachladen kann, gilt erst recht, dass ein System nur mit einer Neuinstallation gesäubert werden kann.


Threat-Anzeiger 20. Okt 2011

Warum diese Insellösung? Da sich deutsche bullen und deren kriminelle erfüllungsgehilfen...

Abseus 20. Okt 2011

das schon aber es muss sie trotzdem noch jemand anzeigen oder ein Geschädigter muss sie...

Ekelpack 20. Okt 2011

Der reine Wahnsinn. Friedrich ist echt nicht tragbar für einen Innenminister. Warum...

Charles Marlow 20. Okt 2011

Vor den Rechtsextremen muss man keine Angst haben. Die sind schon so vom BKA und...

Bibabuzzelmann 19. Okt 2011

Ist es nicht möglich über ein Programm die Echtheit der Certificate zu prüfen, das müsste...

Kommentieren



Anzeige

  1. Software-Entwickler (m/w) für Linux-Umgebung
    RIEKE COMPUTERSYSTEME GmbH, Martinsried
  2. Mit­arbei­ter (m/w) Kunden­service mit den Schwer­punkten Bei­träge (BauGB, KAG) und Fried­hofs­verwal­tung
    AKDB, Landshut
  3. Anwendungsbetreuer (m/w) für die Zeitwirtschaft
    Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz
  4. Software-Entwickler (m/w)
    ISE - Informatikgesellschaft für Software-Entwicklung mbH, Aachen

 

Detailsuche


Spiele-Angebote
  1. Assassin's Creed - Ezio Trilogie
    10,97€
  2. Little Big Planet 3 (PS3/PS4) reduziert
    ab 34,97€
  3. TIPP: PlayStation 4 + The Order + 2 Controller + Cam
    449,00€ USK 18

 

Weitere Angebote


Folgen Sie uns
       


  1. Nachruf

    Dif-tor heh smusma, Mr. Spock!

  2. Click

    Beliebige Uhrenarmbänder an der Apple Watch nutzen

  3. VLC-Player 2.2.0

    Rotation, Addons-Verwaltung und digitale Kinofilme

  4. Stellenangebote

    Apple sucht nach Mitarbeitern für VR-Hardware

  5. Snapcash

    Bezahlte Sexdienste entstehen bei Snapchat

  6. Robear

    Bärenroboter trägt Kranke

  7. Mobiles Internet

    Nvidia analysiert 4G-Daten bereits im Funkmast

  8. Spionagesoftware

    OECD rügt Gamma wegen Finfisher

  9. MWC 2015

    Ericsson zeigt 5G-Testsystem

  10. Hostingdienst Blogger

    Google entfernt doch keine sexuellen Inhalte



Haben wir etwas übersehen?

E-Mail an news@golem.de



Technical Preview im Test: So fühlt sich Windows 10 für Smartphones an
Technical Preview im Test
So fühlt sich Windows 10 für Smartphones an
  1. Internet Explorer Windows 10 soll asm.js voll unterstützen
  2. Microsoft Windows 10 erhält Anmeldestandard Fido
  3. Mobiles Betriebssystem Technical Preview von Windows 10 für Smartphones ist da

Lifetab P8912 im Test: Viel Rahmen für wenig Geld
Lifetab P8912 im Test
Viel Rahmen für wenig Geld
  1. Medion Lifetab P8912 9-Zoll-Tablet mit Infrarotsender kostet 180 Euro
  2. Medion Life X5001 5-Zoll-Smartphone mit Full-HD-Display für 220 Euro
  3. Lifetab S8311 8-Zoll-Tablet mit UMTS-Modem im Metallgehäuse für 200 Euro

Raspberry Pi 2: Die Feierabend-Maschine
Raspberry Pi 2
Die Feierabend-Maschine
  1. Raspberry Pi 2 Fotografieren nur ohne Blitz
  2. Raspberry Pi 2 ausprobiert Schnell rechnen, langsam speichern
  3. Internet der Dinge Windows 10 läuft kostenlos auf dem Raspberry Pi 2

  1. Es ist billiger

    LinuxNerd | 01:09

  2. Buah. Potthässlich.

    Peter Brülls | 00:51

  3. UI?

    theSoenke | 00:40

  4. Man sollte nochmal darauf Hinweisen, woran er...

    Wimmmmmmmmy | 00:39

  5. Re: IMHO: In 10 Jahren gibt es das Ding

    Peter Brülls | 00:30


  1. 19:46

  2. 18:56

  3. 18:43

  4. 18:42

  5. 18:15

  6. 17:59

  7. 16:57

  8. 16:46


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel