Abo
  • Services:

Kaspersky-Entdeckung

Staatstrojaner R2D2 existiert auch als 64-Bit-Version

F-Secure hat den Staatstrojaner-Installer entdeckt, Kaspersky Lab hat weitergeforscht - und die offene Zusammenarbeit der Konkurrenten hat funktioniert: Der deutsche Staatstrojaner ist in einer deutlich verbesserten Version entdeckt worden.

Artikel veröffentlicht am ,
Staatstrojaner auch als 64-Bit-Version verfügbar
Staatstrojaner auch als 64-Bit-Version verfügbar (Bild: Andreas Donath/Golem.de)

Die von staatlichen deutschen Stellen in Auftrag gegebene Schadsoftware mit dem Namen Backdoor/R2D2 (Microsoft-Eintrag) ist in einer vermutlich neueren und deutlich erweiterten Version entdeckt worden. Den "großen Bruder" des Staatstrojaners hat Kaspersky Lab gefunden und umfassend analysiert.

Stellenmarkt
  1. Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO, Stuttgart, Esslingen
  2. eco Verband der Internetwirtschaft e.V., Köln

Die mutmaßlich neuere Version der dem CCC zugespielten Fassung kann auch moderne Systeme angreifen. Kaspersky fand die Version, nachdem F-Secure den Installer (Skype Capture Unit, scuinst.exe) entdeckt hatte. Dieser ist schon seit Dezember 2010 den Antivirenherstellern zugänglich, konnte jedoch bisher nicht zugeordnet werden.

Zertifikat muss auf 64-Bit-Systemen erst installiert werden

Dank F-Secures Hinweisen konnte Kaspersky die Schadsoftware aus der eigenen Sammlung zur Analyse extrahieren. Das Unternehmen fand dabei insgesamt fünf weitere Binärdateien und die Fähigkeit, auch auf 64-Bit-Systemen zu funktionieren. Der Staatstrojaner braucht die 64-Bit-Tauglichkeit aber nicht etwa, um mehr Speicher zu adressieren, sondern um überhaupt aktiv zu werden. Auf 64-Bit-Systemen müssen Kernelmodule digital signiert werden.

Das Kernel-Modul hat ein digitales Zertifikat, dem allerdings erst per Hand das Vertrauen ausgesprochen werden muss. So etwas ginge etwa bei direktem Zugriff auf das System. In so einem Fall lässt sich auch der Virenscanner deaktivieren. Interessanterweise ist das Modul mit einem Privilege Escalation Interface ausgestattet. Wozu die höheren Rechte genutzt werden, gibt Kaspersky aber nicht an.

Die neue Version des Staatstrojaners enthält eine veränderte Liste von Programmen, die überwacht werden dürfen. Die meisten sind allerdings bereits bekannt. Die Überwachung zielt auch hier nicht nur auf populäre Programme. So haben die Entwickler nicht nur daran gedacht, Internet-Explorer- und Firefox-Nutzer auszuspähen. Auch der Opera-Webbrowser wurde trotz des geringen Marktanteils mit einer Funktion bedacht.

Die Schadsoftware ist ein gutes Beispiel dafür, dass die Nutzung wenig verbreiteter Software gerade gegen solche gezielten Angriffe keinen Schutz bietet. Kaspersky listet noch die folgenden Programmdateien, die diese Trojaner-Version unterstützt: icqlite.exe, lowratevoip.exe, msnmsgr.exe, paltalk.exe, simplite-icq-aim.exe, simppro.exe, sipgatexlite.exe, skype.exe, skypepm.exe, voipbuster.exe, x-lite.exe, yahoomessenger.exe. Viele waren schon vorher bekannt.

Wie Heise Security herausgefunden hat, hilft die derzeitige Bekanntheit des Staatstrojaners Virenschutzprogrammen nicht. Nur wenige Änderungen an der Schadsoftware genügen, um den Signaturschutz auszuschalten. Sollte von staatlicher Seite die Software bereits angepasst worden sein, ist die Wahrscheinlichkeit sehr hoch, dass sie nicht entdeckt wird. Die Heuristiken schlagen bisher nur bei den Installationsdateien an. Wie F-Secure gibt auch Kaspersky an, dass nur der Installer über die Heuristiken erkannt wurde.

Werkzeuge, die derzeit bekannte Versionen des Staatstrojaners entfernen können, dürften dementsprechend ebenfalls nicht lange funktionieren. Ohnehin ist der Einsatz beispielsweise des Staatstrojaner-Removal-Tools von Bitdefender fragwürdig. Bei Schadsoftware, die Komponenten nachladen kann, gilt erst recht, dass ein System nur mit einer Neuinstallation gesäubert werden kann.



Anzeige
Blu-ray-Angebote
  1. (u. a. ES Blu-ray 10,83€, Die nackte Kanone Blu-ray-Box-Set 14,99€)
  2. 5€ inkl. FSK-18-Versand
  3. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)

Threat-Anzeiger 20. Okt 2011

Warum diese Insellösung? Da sich deutsche bullen und deren kriminelle erfüllungsgehilfen...

Abseus 20. Okt 2011

das schon aber es muss sie trotzdem noch jemand anzeigen oder ein Geschädigter muss sie...

Ekelpack 20. Okt 2011

Der reine Wahnsinn. Friedrich ist echt nicht tragbar für einen Innenminister. Warum...

Charles Marlow 20. Okt 2011

Vor den Rechtsextremen muss man keine Angst haben. Die sind schon so vom BKA und...

Bibabuzzelmann 19. Okt 2011

Ist es nicht möglich über ein Programm die Echtheit der Certificate zu prüfen, das müsste...


Folgen Sie uns
       


Need for Speed 3 Hot Pursuit (1998) - Golem retro_

Diese Episode Golem retro_ beleuchtet Need for Speed 3 Hot Pursuit aus dem Jahre 1998. Der dritte Serienteil gilt bis heute bei den Fans als unerreicht gut.

Need for Speed 3 Hot Pursuit (1998) - Golem retro_ Video aufrufen
Schwerlastverkehr: Oberleitung - aber richtig!
Schwerlastverkehr
Oberleitung - aber richtig!

Der Schwerlast- und Lieferverkehr soll stärker elektrifiziert werden. Dafür sollen kilometerweise Oberleitungen entstehen. Dass Geld auf diese Weise in LKW statt in die Bahn zu stecken, ist aber völlig irrsinnig!
Ein IMHO von Sebastian Grüner

  1. Ducati-Chef Die Zukunft des Motorrads ist elektrisch
  2. Softwarefehler Lime-Tretroller werfen Fahrer ab
  3. Hyundai Das Elektroauto soll automatisiert parken und laden

Elektroauto: Eine Branche vor der Zerreißprobe
Elektroauto
Eine Branche vor der Zerreißprobe

2019 wird ein spannendes Jahr für die Elektromobilität. Politik und Autoindustrie stehen in diesem Jahr vor Entwicklungen, die über die Zukunft bestimmen. Doch noch ist die Richtung unklar.
Eine Analyse von Dirk Kunde

  1. Kalifornien Ab 2029 müssen Stadtbusse elektrisch fahren
  2. Monowheel Z-One One Die Elektro-Vespa auf einem Rad
  3. 2nd Life Ausgemusterte Bus-Akkus speichern jetzt Solarenergie

Schwer ausnutzbar: Die ungefixten Sicherheitslücken
Schwer ausnutzbar
Die ungefixten Sicherheitslücken

Sicherheitslücken wie Spectre, Rowhammer und Heist lassen sich kaum vollständig beheben, ohne gravierende Performance-Einbußen zu akzeptieren. Daher bleiben sie ungefixt. Trotzdem werden sie bisher kaum ausgenutzt.
Von Hanno Böck

  1. Sicherheitslücken Bauarbeitern die Maschinen weghacken
  2. Kilswitch und Apass US-Soldaten nutzten Apps mit fatalen Sicherheitslücken
  3. Sicherheitslücke Kundendaten von IPC-Computer kopiert

    •  /