Reverse Engineering: Hacker bauen NSA-Backdoors nach

Hacker haben begonnen, die Spionagewerkzeuge der NSA nachzubauen. Durch die Analysen wollen sie sich besser dagegen schützen können. Die Nachbauten werden auf der Webseite NSAPlayset gesammelt.

Artikel veröffentlicht am 20. Juni 2014, 14:22 Uhr, Jörg Thoma

Mit Hilfe einer solchen SDR-Platine haben Hacker NSA-Wanzen nachgebaut. (Bild: Great Scott Gadgets)

Sie nehmen die Unterlagen aus dem Snowden-Fundus als Grundlage und bauen die Wanzen nach, die die NSA an oder in Rechnern platziert. Das Reverse Engineering soll helfen, die Technik des Spionagedienstes zu verstehen - und sich dagegen wehren zu können. Den Anfang machte Michael Ossmann. Er baute einen von der NSA verwendeten Radar-Retro-Reflektor nach. Sämtliche untersuchten Projekte aus dem ANT-Katalog der NSA werden künftig auf der Webseite NSAPlayset gesammelt.

Ossmann widmete sich einem solchen Reflektor, der den Tarnnamen Surlyspawn erhalten hat. Er greift laut NSA-ANT-Katalog Tastatureingaben ab, egal ob über PS/2 oder USB. Die durch die Veränderungen in der Datenleitung zwischen Rechner und Tastatur entstehende Frequenzumtastung wird laut NSA-Unterlagen per Radarwellen abgetastet und dann demoduliert. Das demodulierte Signal wird in Tastatureingaben umgewandelt.

Abgefangen per SDR

Um die Radarsignale der NSA zu simulieren, verwendete Ossmann Software Defined Radio (SDR). Mit SDR lässt sich ein Großteil der Signalverarbeitung mit Software erledigen. Als Hardware lassen sich herkömmliche digitale Signalprozessoren (DSP) einsetzen, wie sie beispielsweise in Modems, Amateurfunkgeräten, Soundkarten oder DVB-Empfänger verbaut sind.

Ossmann benutzte für seine Experimente die spezielle Platine HackRF One. Die Wanze bestehe aus nicht mehr als einem winzigen Transistor mit einem etwa 2 cm langen Draht, der als Antenne dient, berichtet er. Ossmann habe auch eine weitere Wanze mit dem NSA-internen Namen Ragemaster nachgebaut. Mit ihr lassen sich Signale zwischen Grafikkarte und Monitor aufzeichnen, ebenfalls über SDR abfangen und später analysieren.

Der SDR-Spezialist Ossmann will seine Ergebnisse auf der diesjährigen Defcon-Konferenz in Las Vegas vom 7. bis 10. August 2014 präsentieren. Dort will auch der Hacker Joshua Datko einen Nachbau einer NSA-Wanze präsentieren, die auf dem I2C-Bus platziert werden kann und Malware reinstalliert, wenn sie zuvor von einer Antivirensoftware gelöscht wurde. Laut Datko nutzt die Wanze den I2C-Bus. Im NSA-ANT-Katalog läuft sie unter dem Namen Ginsu.