Auswärtiges Amt: Bundeshacker kommunizierten per Outlook mit Malware

Die Malware auf den Rechnern des Auswärtigen Amtes soll per E-Mail mit den Command-und-Control-Servern der Angreifer kommuniziert haben. Die erste Infektion der Rechner erfolgte offenbar über eine manipulierte E-Learning-Plattform.

6. März 2018 um 16:16 Uhr / Hauke Gierow

Outlook war dieses Mal nicht Einfallstor für Malware - sondern offenbar Steuerinstrument. Bild: Martin Wolf/Golem.de

Die mutmaßlich russischen Angreifer auf Rechner der Bundesregierung sollen über Mails in Microsofts Outlook-Client mit der Schadsoftware kommuniziert haben. Das berichtet die Süddeutsche Zeitung unter Verweis auf nicht näher genannte "Sicherheitsforscher" . Der Angriff auf die IT-Infrastruktur des Bundes wird der Turla-Gruppe zugeordnet, von einigen Sicherheitsfirmen auch Snake genannt.

Um unentdeckt zu bleiben, müssen Befehle des Command-and-Control-Servers an die Malware möglichst gut verschleiert werden. In der Vergangenheit hatte die Turla-Gruppe dazu nach Berichten von Sicherheitsforschern bereits kodierte Kommentare auf der Instragram-Seite von Britney Spears benutzt . Die Bundesregierung soll von einem ausländischen Geheimdienst vor dem Hack gewarnt worden sein .

Hackerangriff auf die Bundesregierung - Interview (03:51)

Im aktuellen Fall sollen Mails an die Outlook-Mailkonten gesendet worden sein, die mit den betroffenen 17 Rechnern verknüpft waren. Die Malware wartete demnach auf bestimmte Signalwörter im Anhang der Mails und führte dann die entsprechenden Befehle aus. Die Vorgehensweise ist nach Darstellung der befragten Sicherheitsexperten bislang nicht bekannt gewesen. Ob dafür gezielt Sicherheitslücken ausgenutzt wurden, ist bislang unklar. Das Vorgehen sei "elegant, weil es unauffällig ist" , wird einer der Experten in der SZ zitiert.

Angriff über E-Learning-Module

Bereits am Wochenende hatte zudem die Frankfurter Allgemeine Sonntagszeitung (FAS) berichtet, dass der Angriff auf das Auswärtige Amt ausgerichtet war. Es seien spezielle E-Learning-Kurse bei der Bundesakademie für öffentliche Verwaltung in Brühl manipuliert worden, die dann von Mitarbeitern des Auswärtigen Amtes geöffnet wurden und so die Rechner infizierten.

Die SPD reaktivierte auf Basis der aktuellen Vorfälle die Diskussion um umstrittene Hackback-Maßnahmen . Der innenpolitische Sprecher der SPD-Fraktion, Burkhard Lischka, sagte: "Wenn Daten abfließen, dürfen wir sie dann auf dem angreifenden Server löschen? Darf im Notfall sogar der fremde Server zerstört werden? Dafür brauchen wir eine klare gesetzliche Grundlage. Die SPD ist gesprächsbereit, um das Grundgesetz zu ändern." Entsprechende Maßnahmen sind in Sicherheitskreisen umstritten, weil die Attribution von Angriffen auf IT-Infrastruktur sehr komplex ist und gezielt falsche Fährten gelegt werden können.