C&C-Netzwerk besteht aus mehr als 60 Domains.
C&C-Netzwerk besteht aus mehr als 60 Domains. (Bild: Kaspersky Lab)

Abschalten der Schadsoftware ist zwecklos

Anzeige

Es wurden nicht nur Attacken auf Bürocomputer und Netzwerkhardware durchgeführt, sondern auch gezielt die Smartphones der Angestellten ausspioniert. Neben Symbian-Smartphones zählten dazu auch iPhones und Windows-Mobile-Geräte. Die Angreifer waren auch in der Lage, auf externe Festplatten und USB-Sticks zuzugreifen. Befanden sich darauf gelöschte Dateien, wurden diese von Roter Oktober wieder hergestellt.

Hintermänner von Roter Oktober sind unbekannt

Wer das Spionagenetzwerk aufgebaut hat, ist nicht bekannt und Kaspersky Lab vermutet, dass mehrere Staaten Roter Oktober finanziert haben. Die Sicherheitsexperten halten es für unwahrscheinlich, dass das Netzwerk nur von einem Staat aufgebaut wurde. Linguistische Besonderheiten im Programmcode der Malware und die Registrierungsdaten der C&C-Server deuten darauf hin, dass das Netzwerk von russischstämmigen Personen aufgebaut wurde. Die betreffenden Schadroutinen wurden nach bisherigem Kenntnisstand bei keinem anderen Angriff verwendet.

Gezielte Attacken auf einzelne Angestellte

Zur Infizierung der Computersysteme wurden ganz gezielt die Opfer ausgewählt, es wurde also sogenanntes Spear Phishing verwendet. Die Opfer erhielten auf ihre Interessen zugeschnittene E-Mails, die zum Teil von vermeintlich vertrauenswürdigen Personen stammen konnten. In diesen E-Mails befanden sich Office-Dokumente oder möglicherweise PDF-Dateien, um bekannte Sicherheitslücken in den Microsoft-Applikationen Word und Excel sowie im Adobe Reader auszunutzen. Wurden die Anhänge geöffnet, wurde der betreffende Rechner mit einem Trojanischen Pferd infiziert. Kaspersky Lab liegen zwar die infizierten Anhänge als Beweise vor, an die betreffenden E-Mails sind die Sicherheitsexperten bisher aber nicht gelangt. Sie vermuten, dass die E-Mails entweder von einem öffentlichen E-Mail-Dienstleister kamen oder aber von einem bereits gekaperten Rechner.

Deutschland ist Teil der Infrastruktur

Die Angreifer nutzten die infizierten Systeme dazu, um über C&C-Server weitere Module herunterzuladen, um weitere Komponenten zu infizieren. Das alles geschah, ohne dass das Opfer dies bemerken konnte. Das C&C-Netzwerk besteht aus über 60 Domains und soll Serverstandorte vor allem in Deutschland und Russland haben. Die Server sollen laut Kaspersky Lab in einer Kette angeordnet sein. Um die Identifizierung des zentralen C&C-Servers zu verhindern, sind etliche Proxys davorgeschaltet. Zwischen den befallenen Systemen und den Servern wurden die Daten verschlüsselt ausgetauscht.

Schadsoftware lässt sich jederzeit wiederbeleben

Die gesammelten Anmeldedaten wurden dann in Listen für spätere Attacken gesammelt. Sie sollten auch dazu dienen, Zugriff auf weitere Systeme zu erlangen. Für den Fall, dass die Schadsoftware ausgeschaltet wird, haben die Angreifer vorgesorgt: Es gibt ein sogenanntes Wiederbelebungsmodul, das sich als Plugin innerhalb von Installationen des Adobe Readers oder von Microsoft Office verbirgt. Durch die Zusendung einer präparierten Office-Datei erhalten die Angreifer jederzeit wieder Zugriff auf ein einmal befallenes System. Sie müssen das Opfer nur zum Öffnen der präparierten Datei verleiten. Dann nützt es auch nichts, wenn das ausgenutzte Sicherheitsloch bereits gestopft wurde.

 Flame Reloaded - Roter Oktober: Regierungen wurden jahrelang gezielt ausspioniert

Atalanttore 05. Jun 2013

Man kann wohl davon ausgehen, dass mit Programmcode *nicht* der Quellcode der Malware...

Sharra 17. Jan 2013

Gezielt danach gesucht wurde wohl eher, damit man die Daten überspielen und dann...

Hopedead 16. Jan 2013

Auch auf die Gefahr hin bei Golem rauszufliegen: c't macht da eine Artikel-Reihe, siehe...

Gozilla 16. Jan 2013

Nein, das ist dann eher eine Debatte. Eine Pharse ist es wenn beide reden aber keiner...

endmaster 15. Jan 2013

+1

Kommentieren



Anzeige

  1. Softwareentwickler (m/w)
    H-O-T Härte- und Oberflächentechnik GmbH & Co. KG, Nürnberg
  2. Projekt-Manager (m/w) Electronic Banking
    Omikron Systemhaus GmbH & Co. KG, Köln
  3. Java Softwareentwickler (m/w)
    Bank11 für Privatkunden und Handel GmbH, Neuss
  4. Developer Java / J2EE (m/w)
    HSE24, Ismaning (Raum München)

 

Detailsuche


Folgen Sie uns
       


  1. Ausländische Geheimdienste

    BSI misstraut Vodafone

  2. Stylebop.com

    Onlinehändler kündigt Beschäftigte nach Verdi-Aktion

  3. Benchmark-Beta

    DirectX 12 und Mantle gleich schnell in 3DMark

  4. WLAN im Flugzeug

    Air Berlin berechnet 18,90 Euro für 120 MByte

  5. KDE-Pakete

    Kubuntu ersetzt Neon durch Continuous Integration

  6. Angry Birds Stella Launcher im Test

    Ein bisschen Sailfish

  7. Benchmark

    Apple und Nvidia schlagen manchmal Intels Core M

  8. Systemkamera

    Sony Alpha 7 II mit 5-Achsen-Bildstabilisierung

  9. Streaming

    Amazons Fire TV Stick lässt sich tunen

  10. Facebook

    Flow bringt statische Typen für Javascript



Haben wir etwas übersehen?

E-Mail an news@golem.de



Test Far Cry 4: Action und Abenteuer auf hohem Niveau
Test Far Cry 4
Action und Abenteuer auf hohem Niveau

Yoga Tablet 2 Pro im Test: Das Tablet mit dem eingebauten Kino
Yoga Tablet 2 Pro im Test
Das Tablet mit dem eingebauten Kino
  1. Lenovos Yoga Tablet 2 im Test Das Tablet mit dem Aufhänger
  2. Motorola Lenovo übernimmt Googles Smartphone-Sparte
  3. Yoga Tablet 2 Pro Lenovos 13-Zoll-Tablet mit Projektor und Subwoofer

Yoga 3 Pro Convertible im Test: Flach, leicht, hochauflösend, kurzatmig
Yoga 3 Pro Convertible im Test
Flach, leicht, hochauflösend, kurzatmig
  1. HP Omen 15 Beleuchtetes Gaming-Ultrabook mit ungewöhnlicher Kühlung
  2. Weniger Consumer-Notebooks Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab
  3. Asus Zenbook UX305 Das flachste Ultrabook mit QHD-Display

    •  / 
    Zum Artikel