Original-URL des Artikels: https://www.golem.de/news/operation-volatile-cedar-spionagesoftware-aus-dem-libanon-1503-113267.html    Veröffentlicht: 31.03.2015 17:59    Kurz-URL: https://glm.io/113267

Operation Volatile Cedar

Spionagesoftware aus dem Libanon

Die Malware der Operation Volatile Cedar ist nicht leicht aufzuspüren, auch wenn sie sich nicht mit ausgereifter Spionagesoftware vergleichen lässt - denn die Angreifer setzen sie nur gezielt ein und entwickeln sie akribisch weiter.

Klasse statt Masse: Die vermutlich seit drei Jahren laufende Operation Volatile Cedar ist trotz mittelmäßiger Malware nur sehr schwer aufzuspüren. Denn die Angreifer überwachen die von ihnen angegriffenen Rechner durchgängig und können so auf Enttarnungsversuche schnell reagieren. Die Kampagne lasse sich mindestens bis 2012 zurückverfolgen, hat Michael Shalyt vom IT-Sicherheitsunternehmen Check Point zu Golem.de gesagt. Hinweise in der Spionagesoftware lassen vermuten, dass die Gruppe aus dem Libanon agiert.

Den Kern der Spionagesoftware nennt Check Point Explosive. Die Zeichenkette taucht in der von dem Unternehmen analysierten Malware auf. Volatile Cedar lässt sich mit explosive Zeder übersetzen, in Anspielung auf den Baum, der die Nationalflagge des Libanon ziert. Die Experten bei Check Point fanden nicht nur IP-Adressen von C&C-Servern, die in dem kleinen Land stehen, sondern auch Hinweise auf dessen Zeitzone GMT +2, in der die Mitglieder der Gruppe normalerweise von 8 bis 17 Uhr an der Spionagesoftware arbeiten. Auch in der Malware entdeckte DNS-Einträge konnten in den Libanon zurückverfolgt werden.

Angreifer mit politischem Hintergrund

Die angegriffenen Rechner deuten auf ein politisches Interesse der Mitglieder der Gruppe Volatile Cedar hin: Neben Rüstungs- waren auch Telekommunikationsunternehmen und Medien in mindestens zehn Ländern Opfer der Angriffe, etwa in den USA, Kanada, der Türkei, in Israel und auch im Libanon selbst. Details zu den angegriffenen Zielen wollte Shaylat nicht nennen. Er geht aber davon aus, dass die Gruppe zumindest Unterstützung von einer staatlichen Organisation erhält. Der Libanon ist nicht nur seit Ausbruchs des Bürgerkriegs in Syrien in einer prekären geopolitischen Lage. Dort ist die Hisbollah beheimatet, und auch Israel dürfte weiterhin seinen Einfluss geltend machen. Eine eindeutige Zuordnung sei aber gegenwärtig nicht möglich, sagte Shalyt zu Golem.de.

Zunächst suchen die Mitglieder der Operation Volatile Cedar nach verwundbaren Webservern in den von ihnen anvisierten Unternehmen oder Einrichtungen. Gezielte Angriffe per Phishing führen sie nicht durch. Der Webserver wird erst automatisiert und später manuell nach Schwachstellen geprüft. Gelingt der Einbruch, sammelt der in Explosive integrierte Keylogger dort eingegebene Passwörter. Ein beigelegter Port Scanner verschafft den Angreifern eine erste Übersicht über die Netzwerkinfrastruktur.

Vom Webserver in interne Netz

Von dem infizierten Webserver aus versuchen die Einbrecher weitere Rechner im Netzwerk zu kompromittieren. Bei Explosive handele es sich jedoch nicht um einen Wurm, der sich automatisch im Netzwerk verteile, betonte Shalyt. Die Angreifer suchten ihre Opfer vielmehr gezielt aus. Inzwischen gebe es auch eine Version der Malware, die speziell für die Weitergabe per USB-Stick erstellt worden sei. Insgesamt haben die Experten bei Check Point fünf verschiedene Versionen der Spionagesoftware gefunden, die ab 2012 immer weiter entwickelt wurde. Sie sei in dieser Zeit bereits mehrfach von verschiedener Antivirensoftware entdeckt worden, sagte Shaylat. Allerdings sei erst jetzt ein Zusammenhang zwischen den Versionen deutlich geworden.

Mit verschiedenen Tricks versucht die Spionagesoftware, ihre Aktivitäten zu tarnen. Während bei der ersten Version der Netzwerkverkehr zum C&C-Server noch unverschlüsselt war, wird in Version 2 und 3 der Spyware eine eigene, komplexe Kodierfunktion verwendet. Die IP-Adresse des zentralen C&C-Servers ist fest in der Spyware kodiert. Einzelne Zeichen in Strings werden in hexadezimale ASCII-Werte verwandelt, die jeweils durch ein @-Zeichen getrennt sind. Wird der erste C&C-Server nicht gefunden, versucht Explosive eine neue IP-Adresse bei einem ebenfalls hartkodierten Update-Server zu erhalten. Scheitert auch das, verwendet die Spionagesoftware einen integrierten Domain Generation Algorithmus (DGA), um statt über einer IP-Adresse eine Verbindung über einen Domainnamen herzustellen. DGAs werden häufig in Malware für die Verbindungsherstellung in ein Botnetz verwendet. Müssen große Datenmengen übertragen werden, bauen die Angreifer auch ab und an einen SSH-Tunnel zwischen dem Rechner eines Opfers und einem Server auf.

Angreifer mit politischem Hintergrund

Auf einem infizierten Rechner kann Explosive per Keylogger und aus dem Zwischenspeicher Daten sammeln. Außerdem liest die Spionagesoftware Chroniken von Browsern oder Registry-Werte aus. Die Angreifer haben Explosive in eine ausführbare Datei und eine dazugehörige DLL-Bibiliothek unterteilt. Die Bibliothek wird nur im Bedarfsfall geladen, auch um das Aufspüren der Software durch Antivirensoftware oder Angriffserkennungssysteme zu erschweren. Außerdem können die Angreifer damit leichter weitere Funktionen einbauen. Wurde die Malware einmal entdeckt, bauen die Angreifer sie weitgehend um, damit sie wieder unentdeckt bleibt. Ferner wird stets die Arbeitsspeicherauslastung überwacht, und die von Explosive genutzten Threads können jederzeit aus der Ferne beendet werden.

Bei der Spionagesoftware der Operation Volatile Cedar handele es sich zwar nicht um eine so ausgereifte Software wie die der Equation Group, sagte Shaylat. Es steckten aber auch definitiv keine Skript-Kiddies hinter der Software. Was den Entwicklern der Spionagesoftware an Programmierkenntnissen mangele, um ihre Software zu verstecken, machten sie durch eine disziplinierte Steuerung ihrer Malware wieder wett.

Erst kürzlich wurde eine Hackergruppe namens Wüstenfalken enttarnt, die ebenfalls hauptsächlich im Nahen Osten agiert. Sie verbreiten ihre Spionagesoftware jedoch vornehmlich über Social Engineering.  (jt)


Verwandte Artikel:
Wüstenfalken: Hackergruppe spioniert im Nahen Osten   
(19.02.2015, https://glm.io/112477 )
Equation Group: Neue Beweise deuten auf NSA-Beteiligung an Malware hin   
(11.03.2015, https://glm.io/112905 )
Geheimdienste: Eine Spionagesoftware namens Babar   
(19.02.2015, https://glm.io/112461 )
Equation Group: Die Waffen der NSA sind nicht einzigartig   
(24.02.2015, https://glm.io/112562 )
Equation Group: Der Spionage-Ring aus Malware   
(17.02.2015, https://glm.io/112398 )

© 1997–2019 Golem.de, https://www.golem.de/