Candiru: Spähsoftware gegen Aktivisten und Journalisten entdeckt

Citizen Lab und Microsoft haben gemeinsam neue Informationen über Spyware veröffentlicht. Sie soll von einem israelischen Unternehmen stammen.

Artikel veröffentlicht am 16. Juli 2021, 11:35 Uhr, Anna Biselli

Über den mutmaßlichen Hersteller der Schadsoftware, Candiru, ist wenig bekannt. (Bild: Chris Yang/unsplash.com)

IT-Sicherheitsforscher von Citizen Lab und Microsoft sind auf eine bisher unbekannte Spähsoftware gestoßen, mit der unter anderem Menschenrechtsaktivisten, Journalisten und Politiker ausspioniert worden sein sollen. Die Schadsoftware stamme von einer israelischen Firma namens Candiru, die ihre Produkte an Regierungen verkauft.

Citizen Lab wurde zunächst auf eine "politisch aktive Person in Westeuropa" aufmerksam, deren Windows-Computer offenbar mit einer Candiru-Spyware befallen war. Die Sicherheitsforscher konnten dann eine Kopie der Spähsoftware von der Festplatte extrahieren und weiter analysieren. Nach derzeitigem Kenntnisstand könne die Software Dateien und Passwörter ausleiten. Laut Microsoft ist es zusätzlich möglich, auch Nachrichten von den Accounts der Betroffenen zu versenden. Damit kann Malware verteilt werden, indem weitere Personen Links zu Websites erhalten, über die eine Infektion erfolgen kann.

Aus den Websites, die Candiru-Spähsoftware verteilen, schließt Citizen Lab, dass zu den Zielen vor allem politisch aktive Personen gehören. Die Infektionen würden über Websites verteilt, die sich als Medien-Website oder Internetpräsenz von bekannten NGOs ausgeben. Die Domains enthalten etwa Bezüge zur Black-Lives-Matters-Bewegung oder bekannten Nachrichtenportalen. Citizen Lab bezeichnet diese Zielrichtung als beunruhigend und sieht sie als Hinweis dafür, dass die Kunden mit Candirus Überwachungstools nicht nur Terroristen oder Kriminelle verfolgen würden.

Mehr als hundert Betroffene gefunden

"Dieser Fall zeigt einmal mehr, dass Spyware-Anbieter ohne internationale Sicherheitsvorkehrungen oder strenge staatliche Exportkontrollen an Regierungskunden verkaufen, die ihre Dienste routinemäßig missbrauchen", so Citizen Lab. Die Sicherheitsforscher vermuten nach ihren Untersuchungen, dass Systeme von Candiru etwa aus Saudi-Arabien, Israel und Ungarn betrieben würden.

Microsoft fand bei seinen Analysen über 100 Betroffene in verschiedenen Ländern und behob die Sicherheitslücken, die eine Infektion auf Windows-Systemen ermöglichten. Nutzer seien nun sowohl davor geschützt, dass eine bereits bestehende Infektion weiter funktioniere, als auch davor, sich auf dem gleichen Weg erneut zu infizieren. "Dies ist Teil einer umfassenderen rechtlichen, technischen und Advocacy-Arbeit, mit der wir die Gefahren angehen, die entstehen, wenn private, offensive Akteure Waffen bauen und verkaufen", so das Unternehmen.

Candiru bekam im Gegensatz zu anderen Herstellern von Überwachungssoftware bisher wenig öffentliche Aufmerksamkeit. Das Unternehme agiere verdeckt und habe mehrmals seinen Namen geändert, so Citizen Lab. Derzeit agiere der Hersteller unter der Bezeichnung Saito Tech Ltd.