Original-URL des Artikels: https://www.golem.de/news/spionagesoftware-die-zweifelhafte-ethik-des-hacking-teams-1507-115169.html    Veröffentlicht: 10.07.2015 16:29    Kurz-URL: https://glm.io/115169

Spionagesoftware

Die zweifelhafte Ethik des Hacking Teams

Die veröffentlichten Interna des Hacking Teams zeigen Beunruhigendes: Ein Unternehmen, das nach und nach sämtliche ethische Bedenken dem Profit unterordnet. Sein Gebahren ist symptomatisch für die Branche.

Ethical Hacking verspricht das italienische Unternehmen Hacking Team. Die jetzt ins Netz gelangten gestohlenen Unterlagen belegen aber ein skrupelloses Verhalten: Seine Spionagesoftware verkaufte das Hacking Team auch gerne über Mittelsmänner in Länder, denen der Import solcher Software eigentlich verboten oder bei denen er zumindest zweifelhaft ist. Sie nutzen unbekannte Zero-Day-Lücken. Die Daten geben einen Einblick in die paranoide Arbeitsweise der Branche und zeigen gewisse Parallelen zu den Reaktionen der NSA nach den Snowden-Leaks.

Bereits wenige Stunden, nachdem die internen Daten des Hacking Team ins Netz gelangt waren, dementierte das Unternehmen: Es habe der Republik Sudan keine Spionagesoftware verkauft. Es habe lediglich ein Angebot gegeben, längst bevor ein Waffenexportverbot - inklusive Cyberwaffen - über das afrikanische Land verhängt wurde. Dann legten Aktivisten weitere Beweise gegen das Hacking Team offen: einen Brief an die Uno, in dem darauf bestanden wird, die Schnüffelsoftware falle gar nicht unter ein Exportverbot nach dem Wassenaar-Abkommen, denn es sei keine Cyberwaffe. Und später tauchte eine Rechnung über den Verkauf der Software an die nordsudanesische Regierung von Ende 2014 auf, als die Sanktionen bereits lange in Kraft waren.

Vom IT-Sicherheitsdienstleister zum Spionageexperten

Ein erster flüchtiger Blick in einen Ordner namens Clienti in der geleakten Datensammlung, die Golem.de vorliegt, schreckt zunächst auf. Bekannte Namen sind da zu lesen: Deutsche Bank, Sparkasse, T-Systems, Vodafone. Bei genauerem Hinsehen dann die Entwarnung: Es sind längst vergangene Rechnungen, und es wurde keine Spionagesoftware verkauft, sondern Dienstleistungen zum Thema IT-Sicherheit, Penetrationstests oder Hardware für die IT-Infrastruktur. Die meisten Rechnungen sind drei, vier oder fünf Jahre alt.

Die Support-E-Mails verraten jedoch, dass der Kundenstamm für die Schnüffelsoftware RCS-Software (Remote Control System) seit 2013 stetig wächst. Und fast alle Kunden sind Regierungsinstitutionen. Der beste Kunde des Hacking Team ist Mexiko, das bislang fast sechs Millionen Euro überwiesen hat. Hinter Italien, mit 4 Millionen Euro an zweiter Stelle, liegt Marokko mit fast 3,5 Millionen Euro. Chile, Ungarn, Malaysia, die Vereinigten Arabischen Emirate, die USA: Alle haben mindestens mehr als eine Million Euro an das Hacking Team bezahlt. Erst dann kommen Kasachstan und die Republik Sudan. Sie liegen mit ihren Zahlungen bei nur knapp unter einer Millionen Euro.

Exporte auch nach Deutschland an staatliche Stellen

Irgendwo in der Kundenliste taucht dann die Firma Intech Solutions GmbH aus Neufahrn, nördlich von München, auf. Im März 2012 zahlte das Unternehmen 190.000 Euro für die Nutzung der Spionagesoftware RCS. Bis Ende Juni 2015 waren es noch einmal 145.000 Euro. "Wir sind ein deutscher Verkäufer für Techniklösungen für Polizei und Nachrichtendienste", heißt es auf der Webseite des Unternehmens. Bei den Kunden der Intech Solutions handele es sich um "staatliche Stellen", sagte dessen Geschäftsführer Klaus Weigmann der Zeitung Die Welt. Auf einer internen Mailingliste des Hacking Team sind auch Adressen des BND, des BKA, des Bundesamts für Verfassungsschutz oder der Polizei in Nordrhein-Westfalen, Bayern und Baden-Württemberg.

Vergleicht man diese Einnahmen mit denen diverser Sicherheits- und Penetrationstests bei Banken oder diversen anderen Unternehmen, so kann man nur zu dem Schluss kommen, dass der Verkauf von Schnüffelsoftware ein durch und durch lukratives Geschäft ist. Das Stockholmer Friedensinstitut Sipri sieht schon seit mehreren Jahren den Verkauf von Cyberwaffen als wichtigen Zukunftsmarkt der Waffenindustrie, während der Verkauf von konventionellen Waffen stagniert oder sogar zurückgeht. Genaue Zahlen seien aber schwierig zu ermitteln, denn oftmals gebe es keine Trennung zwischen militärischen und zivilen Aufträgen, zitierte die Nachrichtenagentur dpa die Friedensforscher 2014. Die Zahlen des Hacking Team dürften sie interessieren.

Bei einem derart illusteren Kundenstamm muss die Software nicht nur eine hohe Qualität haben, sondern deren Einsatz auch eine hohe Erfolgsquote aufweisen.

Das schwierige Geschäft mit der Spionagesoftware

Im März 2014 rechtfertigte sich das Hacking Team gegenüber seinen Kunden, nachdem unter anderem die kanadische Bürgerrechtsbewegung Citizen Lab einen detaillierten Bericht über die Spionagesoftware veröffentlicht hatte. Bereits damals vermutete Citizen Lab, dass die Software Remote Control System (RCS) über Exploits auf die Rechner der Opfer eingeschleust werde.

In der E-Mail vom März 2014 versicherte das Hacking Team, dass die Berichte "maßlos" übertrieben seien. Sowohl die Software als auch die Identität der Kunden seien vor einer Entdeckung geschützt. Gleichzeitig präsentierte das Unternehmen sein RCS in Version 9.2 alias Galileo, das Mitschnitte von Skype- und Viber-Gesprächen erlauben soll. Auch das Zurückverfolgen von Transaktionen mit virtuellen Währungen wie Bitcoin sei mit der neuen Version möglich.

Lobbyismus gegen Exportverbot

Im Herbst 2014 stoppte die italienische Regierung plötzlich alle Exporte des Hacking Team wegen möglicher Menschenrechtsverletzungen. Nach intensivem Lobbying bei seinen italienischen Kunden, darunter mit Briefen an die Carabinieri und hochrangige italienische Militärs, hob das Ministerium für wirtschaftliche Entwicklung das Verbot im Dezember 2014 nicht nur auf, sondern erteilte eine umfassende Exportgenehmigung für die Länder, die das Wassenaar-Abkommen akzeptieren. Auf einzelne Prüfung verzichtete die italienische Regierung fortan. Das geht aus den E-Mails des Hacking-Team-Chefs und -Mitgründers David Vincenzetti hervor, der die Webseite The Intercept analysiert hat und die Golem.de vorliegen.

Inzwischen ist klar, dass das Hacking Team unter anderem Zero-Day-Lücken nutzt, um seine Schnüffelsoftware einzuschleusen. Mindestens eine Lücke im Flash-Player und in Windows war bis zur Veröffentlichung der Interna noch unbekannt. Eine weitere wurde erst kürzlich geschlossen.

Es war einmal ein Ettercap

Diese Lücken zu nutzen, setzt aber ein hohes Maß an Wissen voraus. Für die Gründer des Hacking Team Alberto Ornaghi und Marco Valleri dürfte das zutreffen. Sie programmierten bereits 2001 die Software Ettercap, mit der sich Man-in-the-Middle-Angriffe in Netzwerken ausführen lassen. Offiziell heißt es, die Software diene der Überprüfung der Sicherheit.

Um die Geräte von Opfern zu infizieren, nutzt das Hacking Team auch den sogenannten Network Injector, der es Ermittlern ermöglicht, die "HTTP-Verbindungen abzuhören und ein Programm auf dem Gerät einzuschleusen". Zum einen kann ein Server bei einem Netzwerkprovider den Traffic überwachen und manipulierten Code zurückgeben, zum anderen kann ein Laptop genutzt werden, um in der Nähe der Zielperson über LAN und WLAN den Code einzuschleusen - Ettercap lässt grüßen.

Viele Infektionswege

Das Programm ermöglicht es Kunden des Hacking Team, verschiedene Suchbegriffe wie Downloads oder Websites einzugeben, die dann manipuliert werden. Explizit wird dabei die .exe-Datei des Firefox-Setups genannt. Dem bereits Ende 2014 veröffentlichten Handbuch zufolge kann aber jede beliebige .exe-Datei infiziert werden. Als Beispiel für eine infizierte Website wird www.oracle.com erwähnt. Der Network Injector kann jedoch keine FTP- oder HTTPS-Verbindungen überwachen. Die Internetverbindung kann unter anderem durch die Eingabe von IP- und Mac-Adressen oder Adressbereichen identifiziert werden.

Neben .exe- und HTML-Dateien gibt es noch die Möglichkeit, beim Nutzer Flash-Videos zu blockieren und ihn zum Installieren eines manipulierten Flash-Updates aufzufordern. Auch kann der Rechner über ein angebliches Update von Java Runtime Environment informiert werden, so dass eine manipulierte Version heruntergeladen wird.

Anti-Viren-Software ausgetrickst

Besonders viel Wert legt das Hacking Team verständlicherweise darauf, dass seine Software auf den Rechnern eines Opfers unentdeckt bleibt. Eine Tabelle in seiner Knowledgebase vom 16. Juni 2015 zeigt auf, welche Antivirenprogramme unter Windows 7 in der 64-Bit-Version in ihren Standardeinstellungen die Spionagesoftware übersehen. Die Tabelle zeigt auch auf, in welcher Form RCS unentdeckt bleibt. Bislang konnte sich die Software vor den meisten Schutzprogrammen verstecken.

Aber auch wenn die Hersteller jetzt reagieren und ihre Antivirensoftware auf die Software einstellen, dürften nur wenige Änderungen im Code der Schnüffelsoftware reichen, um sie wieder unsichtbar zu machen. Wenn eine Enttarnung durch Antivirensoftware droht, wird sie auf eine schwarze Liste gesetzt und die Schnüffelsoftware verweigert die Installation. In der Knowledgebase weist das Hacking Team seine Kunden auch darauf hin, dass unter Android und iOS Root-Rechte benötigt werden, um bestimmte Funktionen zu nutzen.

Gecrackte Software und schlechte Passwörter

Fast anekdotenhaft muten weitere Funde in der geleakten Datensammlung an. Dort finden sich ein Key-Generator für VMwares Workstation und eine gecrackte Version des Debuggers IDA Pro. Und die Passwörter für den Zugang zum internen Netzwerk waren alles andere als phantasievoll: P1ssword oder schlicht nur Password.

Kurz nach der Veröffentlichung der Daten bestätigte der Firmensprecher des Hacking Team den Einbruch. Das Unternehmen habe seine Kunden angewiesen, die Spionagesoftware vorerst nicht weiter zu benutzen, sagte Eric Rabe dem IT-Portal Motherboard.

Spionagesoftware ist jetzt in der Hand von Terroristen

Auf seiner Webseite warnt das Hacking Team jetzt, dass Terroristen und Erpresser die geleakte Software für ihre Zwecke nutzen könnten. Man arbeite daran, die Software so zu aktualisieren, dass Kunden schnellstmöglich wieder ihren Aufgaben bei der Strafverfolgung und Informationssammlung nachkommen könnten. Ob das so schnell gelingt, darf aber bezweifelt werden.  (jt)


Verwandte Artikel:
Security Without Borders: Nur Tools veröffentlichen reicht nicht mehr aus   
(29.12.2016, https://glm.io/125287 )
Bundeshack: Ausländischer Geheimdienst soll Regierung gewarnt haben   
(02.03.2018, https://glm.io/133112 )
Fluggastdaten: Regierung dementiert Hackerangriff auf deutsches PNR-System   
(10.03.2018, https://glm.io/133261 )
Staatstrojaner und Quick-Freeze: Österreich verschärft frühere Überwachungspläne   
(22.02.2018, https://glm.io/132940 )
Staatstrojaner: Finspy vom Innenministerium freigegeben   
(03.02.2018, https://glm.io/132564 )

© 1997–2019 Golem.de, https://www.golem.de/