Original-URL des Artikels: https://www.golem.de/news/equation-group-der-spionage-ring-aus-malware-1502-112398.html    Veröffentlicht: 17.02.2015 09:21    Kurz-URL: https://glm.io/112398

Equation Group

Der Spionage-Ring aus Malware

Fanny, Greyfish oder Equationlaser: So heißen mehr als ein halbes Dutzend Trojaner, mit denen seit mehreren Jahren weltweit Regierungen, Unternehmen und Forschungseinrichtungen ausspioniert werden. Verbreitet und gesteuert werden sie offenbar von einer Gruppe - der Equation Group.

Seit 2001 ist sie aktiv: die vom russischen IT-Sicherheitsunternehmen Kaspersky benannte Gruppe Equation Group. Sie verwendet ein ganzes Arsenal an Malware und Trojanern, mit denen sie Festplatten infiziert oder versucht, geschlossene Systeme auszuspionieren. Bei seiner Analyse mehrerer Malware-Proben hat Kaspersky Gemeinsamkeiten entdeckt, aus denen das Unternehmen schließt, dass die Equation Group dahintersteckt.

Die Gruppe sei ein "Bedrohungsakteur, der hinsichtlich technischer Komplexität und Raffinesse alles bisher Bekannte in den Schatten stellt", heißt es bei Kaspersky. Sie setze sehr komplizierte Werkzeuge ein, die kostenintensiv entwickelt seien. Ihre Aktionen verberge sie auf außergewöhnlich professionelle Weise. Wegen der verwendeten Verschlüsselung gab Kaspersky der Gruppe den Namen Equation Group.

Command-and-Control-Server in aller Welt

Die Aktivitäten der verwendeten Command-and-Control-Server (C&C-Server) seien bisweilen aber bis 1996 zurückzuverfolgen. Es handelt sich wohl um eine ganze C&C-Infrastruktur mit mehr als 300 Domains und über 100 Server in mehreren Ländern, darunter auch in Deutschland, den USA, Großbritannien, Italien und den Niederlanden. Kaspersky hat auch Server in Panama, Costa Rica, Malaysia oder Kolumbien gefunden.

Auffallend ist die von Kaspersky veröffentlichte weltweite Karte der infizierten Opfer. Länder mit einer hohen Infektionsrate liegen fast ausschließlich in Asien. Die meisten verzeichnet die Karte im Iran, gefolgt von Russland und Pakistan. Zu den dortigen Opfern gehören Militär- und Regierungseinrichtungen, Telekommunikationsunternehmen und Finanzinstitute. Zu den Ländern mit einer mittleren Infektionsrate zählen zahlreiche arabische und afrikanische Staaten, aber auch Großbritannien und Mexiko. Auch in Deutschland werden Infektionen registriert, allen voran bei Telekommunikationsunternehmen. In den USA sind laut Kaspersky vor allem islamische Aktivisten und Gelehrte betroffen.

Zero-Days und weitere Exploits

Beispielhaft für einen Infektionsweg nennt Kaspersky den Besuch eines polnischen Wissenschaftlers auf einer Konferenz in Houston im US-Bundesstaat Texas. Nach der Konferenz wurde ihm eine CD-ROM mit dort aufgenommenen Fotos zugesandt, die mit Malware infiziert war.

Die Malware versuchte, über mehrere, damals noch funktionierende Exploits die Rechner ihrer Opfer zu infizieren. Bei mindestens vier davon handele es sich um Zero-Day-Lücken. Mindestens vier davon griffen den Firefox-Browser in Version 17 an, der auch im Tor-Browser-Bundle verwendet wurde. Die meisten Proben versuchten es mit drei Exploits.

Exploits wurden später in Stuxnet verwendet

Anhand der verwendeten Exploits schlussfolgert Kaspersky, dass die Equation Group mit anderen Gruppen interagiert, die hinter den Trojanern Stuxnet und Flame stecken. Offenbar nahm die Equation Group aber dabei eine führende Rolle ein, denn die in Stuxnet verwendeten Exploits wurden bereits zu einem früheren Zeitpunkt in deren Malware verwendet, wie Kaspersky berichtet.

In der von der Equation Group verbreiteten Malware Fanny hat Kaspersky demnach ein Exploit-Modul gefunden, das später in Flame verwendet wurde. Dieses Modul wurde dann direkt aus Flame in Stuxnet übernommen. Erste Hinweise auf das Modul in Stuxnet stammen aus den Jahren 2009 und 2010.

Infizierte USB-Sticks und Festplattenfirmware

Fanny wird verwendet, um abgetrennte Intranets zu entdecken und infizieren. Dazu wird die Malware in einem versteckten Bereich der Firmware eines USB-Sticks platziert. Steckt der Stick in einem Rechner im Intranet, sammelt er dort Informationen über das abgetrennte Netzwerk. Wird er wieder an einen Rechner mit Zugang zum Internet gesteckt, überträgt er die Informationen an einen C&C-Server. Von dort erhält er auch Befehle, die dann ausgeführt werden, wenn sich der USB-Stick wieder an einem Rechner im abgetrennten Netz befindet.

Kaspersky bringt auch die Malware Greyfish mit der Equation Group in Verbindung. Darüber wird das bislang unbekannte Modul nls_933w.dll ausgeliefert. Mit diesem Modul lässt sich die Firmware der Festplatten zahlreicher namhafter Hersteller manipulieren. Über ein Dutzend Festplatten ließen sich so dauerhaft infizieren, schreibt Kaspersky. Ist sie einmal infiziert, werden bestimmte Bereiche der Festplatte schreibgeschützt, in der sich weitere Malware unterbringen lässt. Damit übersteht sie selbst die komplette Neuinstallation eines Betriebssystems und kann den Rechner eines Opfers anschließend erneut infizieren. Damit ließen sich beispielsweise auch sämtliche Schlüssel eines Opfers auslesen und dauerhaft speichern.

Gegen diese Art von Infektion lasse sich mit herkömmlicher Antivirensoftware wenig ausrichten, schreibt Kaspersky, das die meiste Malware längst in seinen Datenbanken verzeichnet hat. In seinen jüngsten Analysen stellt das IT-Sicherheitsunternehmen erstmals einen Zusammenhang zwischen den verschiedenen Malware-Infektionen her und spricht von einer globalen Bedrohung mit immer komplexeren werdenden Attacken. "Dabei mischen immer mehr Nationalstaaten im Cyberspace mit und rüsten sich mit den fortschrittlichsten Werkzeugen aus", schreibt Kaspersky. Wer genau hinter dieser Gruppe steckt, sagt das Unternehmen nicht. Spekulationen legen aber nahe, dass zumindest die NSA Mitglied in der Equation Group ist.  (jt)


Verwandte Artikel:
Security: Malware mit legitimen Zertifikaten weit verbreitet   
(07.11.2017, https://glm.io/130997 )
Cyberwar: Kaspersky identifiziert die ersten fünf Stuxnet-Opfer   
(11.11.2014, https://glm.io/110474 )
BND-Gesetz: Journalisten klagen gegen Überwachung   
(30.01.2018, https://glm.io/132478 )
Skygofree: Kaspersky findet mutmaßlichen Staatstrojaner   
(16.01.2018, https://glm.io/132197 )
Incident Response: Social Engineering funktioniert als Angriffsvektor weiterhin   
(25.02.2018, https://glm.io/132972 )

© 1997–2019 Golem.de, https://www.golem.de/