Abo
  • IT-Karriere:

Kaspersky-Entdeckung

Staatstrojaner R2D2 existiert auch als 64-Bit-Version

F-Secure hat den Staatstrojaner-Installer entdeckt, Kaspersky Lab hat weitergeforscht - und die offene Zusammenarbeit der Konkurrenten hat funktioniert: Der deutsche Staatstrojaner ist in einer deutlich verbesserten Version entdeckt worden.

Artikel veröffentlicht am ,
Staatstrojaner auch als 64-Bit-Version verfügbar
Staatstrojaner auch als 64-Bit-Version verfügbar (Bild: Andreas Donath/Golem.de)

Die von staatlichen deutschen Stellen in Auftrag gegebene Schadsoftware mit dem Namen Backdoor/R2D2 (Microsoft-Eintrag) ist in einer vermutlich neueren und deutlich erweiterten Version entdeckt worden. Den "großen Bruder" des Staatstrojaners hat Kaspersky Lab gefunden und umfassend analysiert.

Stellenmarkt
  1. PENTASYS AG, mehrere Standorte
  2. SULO Digital GmbH, Herford

Die mutmaßlich neuere Version der dem CCC zugespielten Fassung kann auch moderne Systeme angreifen. Kaspersky fand die Version, nachdem F-Secure den Installer (Skype Capture Unit, scuinst.exe) entdeckt hatte. Dieser ist schon seit Dezember 2010 den Antivirenherstellern zugänglich, konnte jedoch bisher nicht zugeordnet werden.

Zertifikat muss auf 64-Bit-Systemen erst installiert werden

Dank F-Secures Hinweisen konnte Kaspersky die Schadsoftware aus der eigenen Sammlung zur Analyse extrahieren. Das Unternehmen fand dabei insgesamt fünf weitere Binärdateien und die Fähigkeit, auch auf 64-Bit-Systemen zu funktionieren. Der Staatstrojaner braucht die 64-Bit-Tauglichkeit aber nicht etwa, um mehr Speicher zu adressieren, sondern um überhaupt aktiv zu werden. Auf 64-Bit-Systemen müssen Kernelmodule digital signiert werden.

Das Kernel-Modul hat ein digitales Zertifikat, dem allerdings erst per Hand das Vertrauen ausgesprochen werden muss. So etwas ginge etwa bei direktem Zugriff auf das System. In so einem Fall lässt sich auch der Virenscanner deaktivieren. Interessanterweise ist das Modul mit einem Privilege Escalation Interface ausgestattet. Wozu die höheren Rechte genutzt werden, gibt Kaspersky aber nicht an.

Die neue Version des Staatstrojaners enthält eine veränderte Liste von Programmen, die überwacht werden dürfen. Die meisten sind allerdings bereits bekannt. Die Überwachung zielt auch hier nicht nur auf populäre Programme. So haben die Entwickler nicht nur daran gedacht, Internet-Explorer- und Firefox-Nutzer auszuspähen. Auch der Opera-Webbrowser wurde trotz des geringen Marktanteils mit einer Funktion bedacht.

Die Schadsoftware ist ein gutes Beispiel dafür, dass die Nutzung wenig verbreiteter Software gerade gegen solche gezielten Angriffe keinen Schutz bietet. Kaspersky listet noch die folgenden Programmdateien, die diese Trojaner-Version unterstützt: icqlite.exe, lowratevoip.exe, msnmsgr.exe, paltalk.exe, simplite-icq-aim.exe, simppro.exe, sipgatexlite.exe, skype.exe, skypepm.exe, voipbuster.exe, x-lite.exe, yahoomessenger.exe. Viele waren schon vorher bekannt.

Wie Heise Security herausgefunden hat, hilft die derzeitige Bekanntheit des Staatstrojaners Virenschutzprogrammen nicht. Nur wenige Änderungen an der Schadsoftware genügen, um den Signaturschutz auszuschalten. Sollte von staatlicher Seite die Software bereits angepasst worden sein, ist die Wahrscheinlichkeit sehr hoch, dass sie nicht entdeckt wird. Die Heuristiken schlagen bisher nur bei den Installationsdateien an. Wie F-Secure gibt auch Kaspersky an, dass nur der Installer über die Heuristiken erkannt wurde.

Werkzeuge, die derzeit bekannte Versionen des Staatstrojaners entfernen können, dürften dementsprechend ebenfalls nicht lange funktionieren. Ohnehin ist der Einsatz beispielsweise des Staatstrojaner-Removal-Tools von Bitdefender fragwürdig. Bei Schadsoftware, die Komponenten nachladen kann, gilt erst recht, dass ein System nur mit einer Neuinstallation gesäubert werden kann.



Anzeige
Spiele-Angebote
  1. 42,99€
  2. 2,49€
  3. 47,95€
  4. 4,99€

Threat-Anzeiger 20. Okt 2011

Warum diese Insellösung? Da sich deutsche bullen und deren kriminelle erfüllungsgehilfen...

Abseus 20. Okt 2011

das schon aber es muss sie trotzdem noch jemand anzeigen oder ein Geschädigter muss sie...

Ekelpack 20. Okt 2011

Der reine Wahnsinn. Friedrich ist echt nicht tragbar für einen Innenminister. Warum...

Charles Marlow 20. Okt 2011

Vor den Rechtsextremen muss man keine Angst haben. Die sind schon so vom BKA und...

Bibabuzzelmann 19. Okt 2011

Ist es nicht möglich über ein Programm die Echtheit der Certificate zu prüfen, das müsste...


Folgen Sie uns
       


LG V50 mit Dualscreen - Hands on (MWC 2019)

LG hat auf dem Mobile World Congress 2019 in Barcelona das 5G-fähige Smartphone V50 Thinq gezeigt. Passend dazu gibt es eine spezielle Hülle, die sich Dual Screen nennt. Darun befindet sich ein zweites Display, das sich parallel zum normalen Smartphone-Display nutzen lässt.

LG V50 mit Dualscreen - Hands on (MWC 2019) Video aufrufen
TES Blades im Test: Tolles Tamriel trollt
TES Blades im Test
Tolles Tamriel trollt

In jedem The Elder Scrolls verbringe ich viel Zeit in Tamriel, in TES Blades allerdings am Smartphone statt am PC oder an der Konsole. Mich überzeugen Atmosphäre und Kämpfe des Rollenspiels; der Aufbau der Stadt und der Charakter-Fortschritt aber werden geblockt durch kostspielige Trolle.
Ein Test von Marc Sauter

  1. Bethesda TES Blades startet in den Early Access
  2. Bethesda The Elder Scrolls 6 erscheint für nächste Konsolengeneration

Falcon Heavy: Beim zweiten Mal wird alles besser
Falcon Heavy
Beim zweiten Mal wird alles besser

Die größte Rakete der Welt fliegt wieder. Diesmal mit voller Leistung, einem Satelliten und einer gelungenen Landung im Meer. Die Marktbedingungen sind für die Schwerlastrakete Falcon Heavy in nächster Zeit allerdings eher schlecht.
Von Frank Wunderlich-Pfeiffer und dpa

  1. SpaceX Dragon-Raumschiff bei Test explodiert
  2. SpaceX Raketenstufe nach erfolgreicher Landung umgekippt
  3. Raumfahrt SpaceX zündet erstmals das Triebwerk des Starhoppers

Jobporträt: Wenn die Software für den Anwalt kurzen Prozess macht
Jobporträt
Wenn die Software für den Anwalt kurzen Prozess macht

IT-Anwalt Christian Solmecke arbeitet an einer eigenen Jura-Software, die sogar automatisch auf Urheberrechtsabmahnungen antworten kann. Dass er sich damit seiner eigenen Arbeit beraubt, glaubt er nicht. Denn die KI des Programms braucht noch Betreuung.
Von Maja Hoock

  1. Struktrurwandel IT soll jetzt die Kohle nach Cottbus bringen
  2. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"
  3. Recruiting Wenn die KI passende Mitarbeiter findet

    •  /