Flame Reloaded - Roter Oktober: Regierungen wurden jahrelang gezielt ausspioniert
C&C-Netzwerk besteht aus mehr als 60 Domains. (Bild: Kaspersky Lab)

Abschalten der Schadsoftware ist zwecklos

Anzeige

Es wurden nicht nur Attacken auf Bürocomputer und Netzwerkhardware durchgeführt, sondern auch gezielt die Smartphones der Angestellten ausspioniert. Neben Symbian-Smartphones zählten dazu auch iPhones und Windows-Mobile-Geräte. Die Angreifer waren auch in der Lage, auf externe Festplatten und USB-Sticks zuzugreifen. Befanden sich darauf gelöschte Dateien, wurden diese von Roter Oktober wieder hergestellt.

Hintermänner von Roter Oktober sind unbekannt

Wer das Spionagenetzwerk aufgebaut hat, ist nicht bekannt und Kaspersky Lab vermutet, dass mehrere Staaten Roter Oktober finanziert haben. Die Sicherheitsexperten halten es für unwahrscheinlich, dass das Netzwerk nur von einem Staat aufgebaut wurde. Linguistische Besonderheiten im Programmcode der Malware und die Registrierungsdaten der C&C-Server deuten darauf hin, dass das Netzwerk von russischstämmigen Personen aufgebaut wurde. Die betreffenden Schadroutinen wurden nach bisherigem Kenntnisstand bei keinem anderen Angriff verwendet.

Gezielte Attacken auf einzelne Angestellte

Zur Infizierung der Computersysteme wurden ganz gezielt die Opfer ausgewählt, es wurde also sogenanntes Spear Phishing verwendet. Die Opfer erhielten auf ihre Interessen zugeschnittene E-Mails, die zum Teil von vermeintlich vertrauenswürdigen Personen stammen konnten. In diesen E-Mails befanden sich Office-Dokumente oder möglicherweise PDF-Dateien, um bekannte Sicherheitslücken in den Microsoft-Applikationen Word und Excel sowie im Adobe Reader auszunutzen. Wurden die Anhänge geöffnet, wurde der betreffende Rechner mit einem Trojanischen Pferd infiziert. Kaspersky Lab liegen zwar die infizierten Anhänge als Beweise vor, an die betreffenden E-Mails sind die Sicherheitsexperten bisher aber nicht gelangt. Sie vermuten, dass die E-Mails entweder von einem öffentlichen E-Mail-Dienstleister kamen oder aber von einem bereits gekaperten Rechner.

Deutschland ist Teil der Infrastruktur

Die Angreifer nutzten die infizierten Systeme dazu, um über C&C-Server weitere Module herunterzuladen, um weitere Komponenten zu infizieren. Das alles geschah, ohne dass das Opfer dies bemerken konnte. Das C&C-Netzwerk besteht aus über 60 Domains und soll Serverstandorte vor allem in Deutschland und Russland haben. Die Server sollen laut Kaspersky Lab in einer Kette angeordnet sein. Um die Identifizierung des zentralen C&C-Servers zu verhindern, sind etliche Proxys davorgeschaltet. Zwischen den befallenen Systemen und den Servern wurden die Daten verschlüsselt ausgetauscht.

Schadsoftware lässt sich jederzeit wiederbeleben

Die gesammelten Anmeldedaten wurden dann in Listen für spätere Attacken gesammelt. Sie sollten auch dazu dienen, Zugriff auf weitere Systeme zu erlangen. Für den Fall, dass die Schadsoftware ausgeschaltet wird, haben die Angreifer vorgesorgt: Es gibt ein sogenanntes Wiederbelebungsmodul, das sich als Plugin innerhalb von Installationen des Adobe Readers oder von Microsoft Office verbirgt. Durch die Zusendung einer präparierten Office-Datei erhalten die Angreifer jederzeit wieder Zugriff auf ein einmal befallenes System. Sie müssen das Opfer nur zum Öffnen der präparierten Datei verleiten. Dann nützt es auch nichts, wenn das ausgenutzte Sicherheitsloch bereits gestopft wurde.

 Flame Reloaded - Roter Oktober: Regierungen wurden jahrelang gezielt ausspioniert

Atalanttore 05. Jun 2013

Man kann wohl davon ausgehen, dass mit Programmcode *nicht* der Quellcode der Malware...

Sharra 17. Jan 2013

Gezielt danach gesucht wurde wohl eher, damit man die Daten überspielen und dann...

Hopedead 16. Jan 2013

Auch auf die Gefahr hin bei Golem rauszufliegen: c't macht da eine Artikel-Reihe, siehe...

Gozilla 16. Jan 2013

Nein, das ist dann eher eine Debatte. Eine Pharse ist es wenn beide reden aber keiner...

endmaster 15. Jan 2013

+1

Kommentieren



Anzeige

  1. IT-Projektexperte (m/w)
    HIM GmbH, Bad Homburg vor der Höhe
  2. Inhouse Consultant BI / SAP-BW (m/w)
    Metabowerke GmbH, Nürtingen
  3. Software Quality Engineer (m/w) mit Fokus Elektrotechnik / Mechatronik
    OMICRON electronics GmbH, Klaus/Vorarlberg (Österreich)
  4. IT-Consultant (m/w) Inhouse System Engineering
    Mediengruppe RTL Deutschland GmbH, Köln

 

Detailsuche


Folgen Sie uns
       


  1. Viewsonic

    Gaming-Monitor mit 144 Hz Bildfrequenz

  2. Basis Peak

    Vier Tage schwitzen mit Intels Fitness-Smartwatch

  3. In eigener Sache

    Golem.de offline und unplugged

  4. Arduino

    Neue Details zum 3D-Drucker Materia 101

  5. Microsoft-Handy

    Nokia 130 mit langer Akkulaufzeit für 29 Euro

  6. Jolt

    Schnurloses Laden für die Gopro

  7. Smartwatch

    Pebble senkt die Preise

  8. Überhitzungsgefahr

    Rückruf für Amazon-Basics-Ladeteil

  9. Gapgate

    Spalt im Samsung Galaxy Note 4 ist gewollt

  10. 100-Millionen-Dollar-Datenklau

    Hacker wegen Software-Diebstahls angeklagt



Haben wir etwas übersehen?

E-Mail an news@golem.de



In eigener Sache: Golem.de sucht Videoredakteur/-in
In eigener Sache
Golem.de sucht Videoredakteur/-in
  1. Golem pur Golem.de startet werbefreies Abomodell
  2. In eigener Sache Golem.de definiert sich selbst

Rochester Cloak: Tarnkappe aus vier Linsen
Rochester Cloak
Tarnkappe aus vier Linsen
  1. Roboter Transformer aus Papier

Test Fifa 15: Mehr Emotionen, mehr Gesang, mehr Dreck
Test Fifa 15
Mehr Emotionen, mehr Gesang, mehr Dreck
  1. Fifa 15 angespielt Verbesserter Antritt bringt viele neue Tore
  2. EA-Pressekonferenz Shadow Realms und Merkels lange Nase
  3. EA Access Battlefield 4 und Fifa 14 im Abo

    •  / 
    Zum Artikel