Hacker: Spionagesoftware im Affenvideo
Eine mutmaßlich von der russischen Regierung unterstützte Hackergruppe hat mindestens sieben Jahre lang die Nato, westliche Ministerien, Behörden und Thinktanks sowie Auftragnehmer von Regierungen ausspioniert. Auch in Afrika, Asien und im Mittleren Osten soll die Gruppe aktiv gewesen sein. Das schreibt die IT-Sicherheitsfirma F-Secure in ihrem Bericht über The Dukes(öffnet im neuen Fenster) , wie sie die Täter nennt.
The Dukes waren bereits unter einer anderen Bezeichnung bekannt: APT29. APT steht für Advanced Persistent Threat. Das Unternehmen Fireeye hatte die Gruppe ertappt(öffnet im neuen Fenster) und ihr den Namen gegeben. APT29 wurde in Sicherheitskreisen berühmt für kreative Verschleierungstaktiken.
F-Secure konnte der Gruppe nun ein ganzes Arsenal an Spionagewerkzeugen zuordnen, die Passwörter, Kryptoschlüssel, Dokumente, Screenshots und andere Informationen von fremden Rechnern sammeln. Dadurch war es dem finnischen Unternehmen auch möglich, die Geschichte der Gruppe nachzuzeichnen. Das Besondere an deren Vorgehen: Nicht immer gaben sie sich Mühe, ihre Spuren zu verwischen. Manche Versuche, an fremde Daten zu gelangen, waren geradezu dreist.
Malware holt sich Kommandos über Twitter
Zu den raffinierteren gehört ein Angriff auf 59 Ziele in 23 Ländern, darunter auch Deutschland, mit einem Trojaner namens MiniDuke im Jahr 2012. MiniDuke war in gefälschten PDF-Dateien versteckt, die in sehr glaubwürdig erscheinenden E-Mails an die Opfer verschickt wurden. Die Spionagesoftware nutzte unter anderem Twitter(öffnet im neuen Fenster) , um sich neue Kommandos aus dem Netz zu holen, und erlangte für diesen ungewöhnlichen Trick eine gewisse Berühmtheit in Sicherheitskreisen.
Mit The Dukes bringt F-Secure neun verschiedene Werkzeuge in Verbindung und benennt sie entsprechend: PinchDuke, GeminiDuke, CosmicDuke, MiniDuke, CozyDuke, OnionDuke, SeaDuke, HammerDuke und CloudDuke.
Manche wurden jahrelang eingesetzt. Zum Teil sogar dann noch, als die zugrundeliegenden Schwachstellen schon bekannt waren und damit das Risiko einer Entdeckung hoch. F-Secure glaubt, The Dukes seien entweder davon ausgegangen, dass ihre Opfer nicht besonders schnell auf bekanntgewordene Sicherheitslücken reagieren. Oder sie seien das Risiko bewusst eingegangen, weil die Ziele es wert waren. Oder sie hätten zu diesem Zeitpunkt schon so viel in ihre Angriffe investiert, dass sie nicht einfach damit aufhören wollten. In jedem Fall ist das ein ungewöhnliches Verhalten.
Nicht immer versuchten die Dukes, ihre Opfer mit PDF-Dateien zu locken.
Vieles spricht für russische Auftraggeber
OnionDuke etwa versteckten sie in ansonsten normalen, aber illegalen Kopien von bekannten Computerprogrammen, die sie dann in Form von Torrent-Dateien auf beliebten Hosting-Plattformen platzierten. Wer immer sich ein solches Programm herunterlud, statt es im Laden zu kaufen, bekam OnionDuke gleich mit. Die Täter müssen also geahnt haben, dass sich ihre Opfer auf Torrent-Plattformen bewegen.
CozyDuke wiederum lockte seine Opfer mit einem Affenvideo an: In E-Mails verbreiteten The Dukes einen Link auf eine Zip-Datei mit dem Namen Office Monkey LOL Video. Es handelte sich um ein präpariertes Flash-Video, das einen Werbespot zeigte, der während des Super Bowls 2007 ausgestrahlt wurde(öffnet im neuen Fenster) . So sehr sich die verschiedenen Duke-Programme auch im Infektionsweg, im Code und im Stil unterschieden, bestimmte Bestandteile und auch Command-and-Control-Server blieben doch über Jahre hinweg gleich.
Sehr gut organisierte, zielstrebige Täter
Entwickelt und eingesetzt wurden sie zum Teil parallel, was laut F-Secure dafür spricht, dass die Gruppe über eine regelmäßige und nicht unerhebliche Einnahmequelle verfügt.
Es ist einer von vielen Hinweisen auf mutmaßliche Hintermänner: Der Ablauf der einzelnen Angriffswellen und ihr Umfang sprechen für sehr gut organisierte und zielstrebige Täter. Das Risiko, entdeckt zu werden, bestand dabei mehrfach. Unabhängige Täter hätte das wahrscheinlich dazu veranlasst, die Angriffe einzustellen oder andere Methoden zu suchen. Für The Dukes ist es offenbar wichtiger, etwas "liefern" zu können. Möglicherweise wissen sie auch, dass sie von ihrem Unterstützer geschützt werden und "keine Verfolgung fürchten müssen", wie Mikko Hyppönen(öffnet im neuen Fenster) , Chief Research Officer von F-Secure, im Gespräch mit Zeit Online sagte.
Kaspersky hatte bereits Artefakte in russischer Sprache in einigen Duke-Bestandteilen entdeckt, F-Secure eine russische Fehlermeldung. Auch bestimmte Zeitstempel weisen auf Täter innerhalb Russlands und der dort üblichen Bürozeiten hin. Die Ziele der Angriffe berühren zudem allesamt die außen- und sicherheitspolitischen Interessen Russlands. F-Secure glaubt deshalb, die Gruppe arbeite entweder im Auftrag der russischen Regierung, "könnte aber auch innerhalb des russischen Geheimdienstes angesiedelt sein" , sagt Hyppönen. Er ist gespannt, ob sich die Gruppe künftig anders verhalten oder weiter ohne Rücksicht auf eigene Verluste operieren wird.