Abo
  • Services:
Anzeige
Sicherheitsforscher haben eine Malware entdeckt, die sie nach dem Comicgespenst Casper benannten.
Sicherheitsforscher haben eine Malware entdeckt, die sie nach dem Comicgespenst Casper benannten. (Bild: Thomas Galvez /Flickr.com, CC BY 2.0)

Spionage: Auf der Jagd nach einem Gespenst

Sicherheitsforscher haben eine Malware entdeckt, die sie nach dem Comicgespenst Casper benannten.
Sicherheitsforscher haben eine Malware entdeckt, die sie nach dem Comicgespenst Casper benannten. (Bild: Thomas Galvez /Flickr.com, CC BY 2.0)

Forscher haben ein komplexes Spionageprogramm entdeckt, das sie Casper nennen. Der Fall taugt als Lehrstück über die immens schwierige Enttarnung von Malware-Entwicklern.
Von Patrick Beuth

Casper ist ein freundliches Gespenst, eine populäre Comicfigur, und deshalb ein eher unpassender Namensgeber für einen Trojaner, mit dessen Hilfe Menschen in Syrien überwacht werden. Aber es gibt diesen Trojaner. Die Geschichte hinter seinem Namen sagt viel darüber aus, wie schwierig es ist, die Entwickler solcher Programme zweifelsfrei zu enttarnen. Casper ist ein Musterbeispiel für dieses attribution problem. Der Begriff kann mit "Zuschreibungsproblem" übersetzt werden.

Anzeige

Die Journalistin Quinn Norton beschreibt es in ihrem lesenswerten Aufsatz Attribution is hard so: "Wir haben einen Punkt in der Menschheitsgeschichte erreicht, an dem es leichter ist, einen erdballgroßen Exoplaneten zu entdecken als herauszufinden, wer hinter den meisten Hacks steckt." Ein Grund: Es ist schwierig, etwas Unsichtbares einzufangen.

Die vier Geisterjäger dieser Geschichte heißen Joan Calvet, Marion Marschalek, Paul Rascagnères und Vyacheslav Zakorzhevsky. Sie arbeiten eigentlich für unterschiedliche Antiviren- und Sicherheitsfirmen, haben sich für ihre Analyse von Casper aber zusammengetan. Calvet hat am 5. März 2015 das Ergebnis ihrer gemeinsamen Untersuchungen veröffentlicht: woher der Name Casper kommt, wie Casper verbreitet wurde, welche erstaunlichen Fähigkeiten die Software besitzt, wer betroffen sein könnte und wer die möglichen Urheber sind.

Die erste Frage ist einfach zu beantworten: Eine zentrale Datei des Trojaners wurde von ihren Entwicklern Casper_DLL.dll genannt. Die Bezeichnung taucht an einer Stelle im Code auf. Für die vier Sicherheitsforscher lag es deshalb nahe, den ganzen Trojaner so zu nennen.

Seine Entwickler haben intern möglicherweise einen anderen Namen benutzt, doch Casper hat durchaus etwas Geisterhaftes an sich. Das beginnt damit, dass er sich mit Hilfe zweier Zero-Day-Lücken im Flash-Player verbreitete. Zero-Day heißt: Es handelt sich um bisher unbekannte Sicherheitslücken, gegen die es dementsprechend noch keinen Schutz gibt. Zero-Days werden gehandelt, zu den Abnehmern gehören Geheimdienste und Kriminelle. Ein Flash-Zero-Day kostet 40.000 bis 100.000 US-Dollar. Ein rares Gut also, man "verbrennt" es nicht leichtfertig. Dass Casper gleich zwei Zero-Days verwendete, spricht also für finanzstarke Angreifer und wichtige Ziele.

Diese Ziele waren Computer in Syrien, wie die Sicherheitsforscher herausfanden. Zakorzhevsky war es, der im April 2014 die ersten Spuren von Casper auf der Website jpic.gov.syentdeckte und die Geisterjagd damit einleitete. Laut Calvet handelt es sich um eine Seite der Regierung, auf der bürgerkriegsgeplagte Syrer um Wiederaufbauhilfe bitten können.

Der Spuk läuft stufenweise ab: Auf einem Zielrechner prüft Casper zunächst, ob ein Antivirusprogramm installiert und aktiv ist. Wenn ja, hat Casper für verschiedene Anbieter eine jeweils passende Versteck-Strategie. In bestimmten Fällen deinstalliert sich Casper auch von selbst, um einer Entdeckung zu entgehen.

Typisch für hochkarätige Angreifer

Besteht keine Gefahr, entdeckt zu werden, sammelt Casper als Nächstes eine Vielzahl von Informationen über den befallenen Rechner: Betriebssystem, Standort, installierte Programme und einiges mehr. Diese Informationen sendet Casper an einen Server, den die Angreifer kontrollieren. Calvet sagt: "Auf dieser Basis entscheiden sie, ob der Computer interessant für sie ist oder nicht. Wenn ja, kann Casper Kommandos vom Server ausführen und auch sogenannte Plug-ins installieren. Das sind komplette Windows-Programme, in denen die eigentlichen Spionagefähigkeiten enthalten sind." Gemeint sind Keylogger zum Mitschneiden von Tastatureingaben oder andere Abhörprogramme. Das ist dann nach der Infektion und dem Ausspähen der Gerätekonfiguration die dritte Stufe.

Das Vorgehen sei typisch für hochkarätige Angreifer, sagt Calvet. Alle Fähigkeiten in denselben Teil einer Malware zu stecken, sei für sie zu risikoreich. Denn wer dieses eine Programm findet, könne "die ganze Geschichte rekonstruieren und wahrscheinlich erraten, was genau das Ziel der Angreifer war".

Wer war's wirklich?

An dieser Stelle stoßen er und seine Kollegen deshalb an ihre Grenzen. Sie wissen, wie sich Casper verbreitete, wo er das tat, was er kann. Aber wer dahintersteckt, können sie nicht mit letzter Sicherheit sagen. Was sie tun können, ist eine Indizienkette zu bilden.

Die sieht so aus: Casper ist nicht der erste Trojaner mit einer Comicfigur im Dateinamen. Vor kurzem erst haben die vier Sicherheitsforscher ihre Analyse von Babar veröffentlicht. Es handelt sich um ein Überwachungsprogramm, das vor allem im Iran eingesetzt wurde. In dessen Code fanden Calvet und seine Kollegen eine Datei mit der Bezeichnung babar64.

In Dokumenten des kanadischen Geheimdienstes CSEC aus dem Snowden-Archiv wiederum gibt es Hinweise auf eine Spionage-Operation mit dem Titel Snowglobe. In der spielt auch eine Software namens Babar eine Rolle. Die Kanadier denken, Snowglobe war eine Operation der Franzosen, die vor allem gegen den Iran gerichtet war. Echte Beweise für die Vermutung stecken in den Dokumenten nicht.

Attribution ist politisch 

eye home zur Startseite
zufälliger_Benu... 09. Mär 2015

Warum ist noch niemand vorher darauf gekommen einfach mehrere Server eine Organisation...

zufälliger_Benu... 09. Mär 2015

Manchmal ist man doch froh dass nicht jeder Hinz und Kunz die Führung übernehmen kann.

Porterex 07. Mär 2015

Wundert mich nicht. Adobe Flash kann man doch bereits als schädliche Software bezeichen...

__destruct() 07. Mär 2015

Vielleicht hat man nur eine Raubmordkopie, weswegen er nicht richtig funktioniert. "Für...



Anzeige

Stellenmarkt
  1. operational services GmbH & Co. KG, Frankfurt
  2. R&S Cybersecurity HSM GmbH, Berlin
  3. Daimler AG, Stuttgart
  4. J. Schmalz GmbH, Glatten bei Freudenstadt


Anzeige
Hardware-Angebote
  1. ab 449,94€
  2. (u. a. DXRacer OH/RE9/NW für 199,90€ statt 226€ im Preisvergleich)
  3. 6,99€

Folgen Sie uns
       


  1. Radeon Software 17.7.2

    AMDs Grafiktreiber bringt massig Neuerungen

  2. Quartalsbericht

    Facebooks Belegschaft wurde erheblich vergrößert

  3. GigaKombi

    Vodafone verbessert Datenpaket für Warten aufs Festnetz

  4. Datenrate

    O2 drosselt mobiles Internet wegen EU-Roamings

  5. Netgear Nighthawk X6S

    Triband-Router kann mit Sprache gesteuert werden

  6. Spark

    DJI-Minicopter stürzt ab

  7. Nachfolger Watchbox

    RTL beendet Streamingportal Clipfish

  8. Chipmaschinenausrüster

    ASML demonstriert 250-Watt-EUV-System

  9. Linux-Distribution

    Opensuse Leap 42.3 baut Langzeitpflege aus

  10. Soziales Netzwerk

    Facebook soll an Smart-Speaker mit Display arbeiten



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Microsoft Surface Pro im Test: Dieses Tablet kann lange
Microsoft Surface Pro im Test
Dieses Tablet kann lange
  1. Microsoft Neues Surface Pro fährt sich ohne Grund selbst herunter
  2. iFixit-Teardown Surface Laptop ist fast nicht reparabel
  3. Surface Studio Microsofts Grafikerstation kommt nach Deutschland

Ausprobiert: JPEGmini Pro komprimiert riesige JPEGs um bis zu 80 Prozent
Ausprobiert
JPEGmini Pro komprimiert riesige JPEGs um bis zu 80 Prozent
  1. Google KI erstellt professionelle Panoramen
  2. Bildbearbeitung Google gibt Nik Collection auf

Kryptowährungen: Bitcoin steht vor grundlegenden Änderungen
Kryptowährungen
Bitcoin steht vor grundlegenden Änderungen
  1. Linux-Distributionen Mehr als 90 Prozent der Debian-Pakete reproduzierbar
  2. Die Woche im Video Strittige Standards, entzweite Bitcoins, eine Riesenkonsole
  3. Kryptowährung Bitcoin notiert auf neuem Rekordhoch

  1. Re: Wie dumm muss man sein ...

    User_x | 00:21

  2. Re: Erster Eindruck..

    mnementh | 00:16

  3. Re: Schlangenöl

    ayngush | 00:06

  4. Re: was kann da schon schief gehen !!!11drölf

    recluce | 26.07. 23:58

  5. Re: Wie kann man damit nur erfolgreich sein?!

    Tigtor | 26.07. 23:58


  1. 23:00

  2. 22:41

  3. 19:35

  4. 17:26

  5. 16:53

  6. 16:22

  7. 14:53

  8. 14:15


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel