Equation Group: die Mutter der Cyber-Spionage
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Pressemitteilung: Equation Group: die Mutter der Cyber-Spionage
Equation Group: die Mutter der Cyber-
Spionage
Kaspersky Lab identifiziert die Ahnen von Stuxnet und Flame; Urheber ist ein mächtiger
Akteur
Moskau/lngolstadt, 16. Februar 2015
Kaspersky Lab enttarnt einen Bedrohungsakteur, der hinsichtlich technischer Komplexität und
Raffinesse alles bisher Bekannte in den Schatten stellt – die so genannte Equation Group, die
seit fast zwei Jahrzehnten aktiv ist [1]. Die IT-Sicherheitsexperten des Global Research and
Analysis Teams (GReAT) von Kaspersky Lab beobachten seit einigen Jahren mehr als 60
fortschrittliche und für weltweite Cyberangriffe verantwortliche Bedrohungsakteure und
analysieren dabei immer komplexer werdende Attacken. Dabei mischen immer mehr
Nationalstaaten im Cyberspace mit und rüsten sich mit den fortschrittlichsten Werkzeugen
aus.
Laut Kaspersky Lab ist die Equation Group jedoch in annähernd all ihren Aktivitäten einzigartig: Sie
nutzen Werkzeuge, die sehr kompliziert und kostenintensiv zu entwickeln sind. Damit infizieren sie
ihre Opfer, rufen Daten ab und verbergen ihre Aktionen in einer außergewöhnlich professionellen
Weise. Darüber hinaus nutzen sie auch klassische Spionage-Taktiken, um böswilligen Code bei ihren
Opfern zu platzieren.
Zur Infektion setzt die Gruppe eine Reihe von „Implantaten“ (Trojanern) ein, darunter die von
Kaspersky Lab wie folgt benannten: EquationLaser, EqationDrug, DoubleFantasy, TripleFantasy,
Fanny und GrayFish [2]. Zweifelsohne existieren noch weitere Implantate.
Angriff auf Festplatten-Firmware
Die Experten von Kaspersky Lab haben zwei Module entdeckt, mit denen die Neuprogrammierung der
Festplatten-Firmware bei einem Dutzend beliebter Festplattenhersteller möglich ist. Dies ist vielleicht
das stärkste Werkzeug im Arsenal der Equation Group und die erste bekannte Malware, die direkt
Festplatten infiziert.
Das Ändern der Systemsoftware einer Festplatte hat schwerwiegende Folgen:
Eine extrem hohe Widerstandsfähigkeit, mit der die Malware selbst eine
Festplattenformatierung oder eine Neuinstallation des Betriebssystems überlebt. Sobald die
Malware in die Firmware gelangt, kann sie sich selbst für immer wieder herstellen und das
Löschen bestimmter Festplattenbereiche verhindern beziehungsweise diesen Bereich durch
einen schädlichen während eines Systemneustarts ersetzen.Pressemitteilung: Equation Group: die Mutter der Cyber-Spionage
„Ein weiterer gefährlicher Punkt: Wird eine Festplatte mit diesem gefährlichen Code infiziert,
ist es unmöglich die Firmware zu scannen“, so Costin Raiu, Director des Global Research and
Analysis Team bei Kaspersky Lab. „Einfacher gesagt: für die meisten Festplatten existieren
Funktionen zum Beschreiben des Firmware-Bereichs ihrer Hardware, aber nicht zur
Wiedergabe. Das bedeutet, dass wir praktisch blind sind und mit dieser Malware infizierte
Festplatten nicht erkennen können.“
Die Möglichkeit, einen unsichtbaren und dauerhaften Bereich auf der Festplatte zu schaffen,
wird auch genutzt, um herausgefilterte Informationen zu speichern, die später von den
Angreifern abgerufen werden können. Zudem kann dies in einigen Fällen beim Knacken der
Verschlüsselung hilfreich sein.
„Wenn man sich vergegenwärtigt, dass deren GrayFish-Implantat ab dem Hochfahren eines
Systems aktiv ist, kann man verstehen, dass die Angreifer in der Lage sind, das
Verschlüsselungspasswort zu entwenden und es in ihrem versteckten Bereich zu speichern“,
so Costin Raiu weiter.
Daten von isolierten Netzwerken wiederherstellen
Der so genannte Fanny-Wurm sticht ebenfalls unter allen Angriffsmöglichkeiten der Equation Group
heraus. Dessen Hauptzweck ist es, „Air Gapped“-Netzwerke abzubilden – also die Topologie eines
Netzwerkes, das nicht über eine Leitung erreichbar ist, zu erfassen. Zu diesem Zweck wird ein bislang
einmaliger USB-basierter Command & Control-Mechanismus eingesetzt, der es erlaubt, Daten aus
nicht verbundenen Netzwerken hinein- und hinauszubringen [3].
Das bedeutet, dass ein infizierter USB-Stick mit einem versteckten Speicherbereich eingesetzt wird,
um grundlegende System-Informationen in nicht mit dem Internet verbundenen Computern
einzusammeln. Sobald der USB-Stick in einen von Fanny infizierten und mit dem Internet
verbundenen Computer gesteckt wird, sendet er diese Informationen an den Command & Control-
Server. Wenn die Angreifer Befehle in den „AirGapped“-Netzwerken ausführen wollen, speichern sie
diese Befehle im versteckten Bereich des USB-Sticks. Wird der USB-Stick mit dem „Air Gapped“-
Computer verbunden, bemerkt Fanny diesen Befehl und führt ihn aus.
Klassische Spionage-Methoden und Malware-
Auslieferung
Die Angreifer nutzten alle Methoden, um Ziele zu infizieren: nicht nur über das Web, sondern auch
über die physikalischen Welt. Hierfür nutzten sie eine klassische Technik zum Abfangen und Ersetzen
von trojanisierten Versionen physischer Gegenstände. Ein Beispiel, bei dem Teilnehmer einer
wissenschaftlichen Konferenz in Houston betroffen waren: Als die Teilnehmer nach Hause kamen,
erhielten einige eine CD-ROM mit Inhalten zur besuchten Konferenz. So konnten die Angreifer das
Implantat DoubleFantasy bei den anvisierten Rechnern platzieren. Die genaue Methode, wie die
Inhalte der CD mit böswilligem Code versehen werden konnte, bleibt unbekannt.
Berühmt-berüchtigte Bekannte: Stuxnet und Flame
Es gibt zuverlässige Hinweise darauf, dass die Equation Group mit anderen einflussreichen Gruppen
wie beispielsweise mit den Betreibern von Stuxnet und Flame interagiert – wobei die Equation Group
offenbar eine führende Position inne hatte. Die Equation Group hatte Zugang zu Zero-Day-Pressemitteilung: Equation Group: die Mutter der Cyber-Spionage Schwachstellen, bevor diese von Stuxnet und Flame genutzt wurden. Zu einem anderen Zeitpunkt teilten sie die Exploits mit den anderen [4]. Im Jahr 2008 nutzte der Schädling Fanny zwei Zero-Days, die erst im Juni 2009 und März 2010 in Stuxnet eingebaut wurden. Eine dieser Zero-Days in Stuxnet war ursprünglich ein Flame-Modul, das dieselbe Schwachstelle ausnutzt. Dieser wurde direkt aus der Flame-Plattform entnommen und in Stuxnet eingebaut. Einflussreiche und geographisch verbreitete Infrastruktur Die Equation Group verwendet eine riesige C&C-Infrastruktur, die mehr als 300 Domains und über 100 Server umfasst. Die Server werden in zahlreichen Ländern betrieben, darunter auch in Deutschland, den USA, Großbritannien, Italien, den Niederlande, Panama, Costa Rica, Malaysia, Kolumbien und der Tschechischen Republik. Kaspersky Lab betreibt derzeit „Sinkhole“-Server bei mehreren Dutzend der 300 C&C-Server. Tausende prominente Opfer weltweit Seit dem Jahr 2001 hat die Equation-Gruppe tausende, vermutlich zehntausende, Opfer in über 30 Ländern weltweit aus folgenden Bereichen infiziert: Regierungs- und diplomatische Institutionen, Telekommunikation, Luft- und Raumfahrt, Energie, Nuklearforschung, Öl- und Gasindustrie, Militär, Nanotechnologie, islamische Aktivisten und Gelehrte, Massenmedien, Transport, Finanzinstitute sowie Unternehmen, die Verschlüsselungstechnologien entwickeln [5]. Die Aufdeckung von Kaspersky Lab Kaspersky Lab beobachtete sieben Exploits, die von der Schadsoftware der Equation Group genutzt wurden. Bei mindestens vier davon handelt es sich um Zero-Days. Außerdem wurden unbekannte Exploits – vermutlich Zero-Days – in Firefox 17 observiert, die auch im Tor-Browser genutzt wurden. Während der Infektionsphase hätte die Gruppe die Möglichkeit, zehn Exploits hintereinander zu verwenden. Allerdings stellte Kaspersky Lab fest, dass nie mehr als drei genutzt werden: wenn der erste nicht erfolgreich ist, wird ein zweiter und ein dritter Versuch gestartet. Falls alle drei Exploits misslingen, wird das System nicht infiziert. Die Produkte von Kaspersky Lab entdeckten zahlreiche Angriffe auf ihre Nutzer. Viele der Angriffe waren aufgrund der automatischen Exploit-Schutztechnologie, die Exploits unbekannter Schwachstellen aufspürt und blockiert, nicht erfolgreich. Dieses automatische System war das Erste, das den vermutlich im Juli 2008 erstellten Fanny-Wurm entdeckte und blockierte. Mehr zur Analyse über die Equation Group ist unter https://securelist.com/blog/research/68750/equation-the-death-star-of-malware-galaxy/ abrufbar. [1] https://securelist.com/blog/research/68750/equation-the-death-star-of-malware-galaxy/
Pressemitteilung: Equation Group: die Mutter der Cyber-Spionage
[2] http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infographic_EQtimeline_4_1024.png
[3] http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infographic_Fanny.png
[4] http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infographic_EQ_Family.png
[5] http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infographic_Victims_map.png
Nützliche Links:
Analyse Equation Group: https://securelist.com/blog/research/68750/equation-the-death-star-
of-malware-galaxy/
Infografik “Victims”
http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infogra
phic_Victims_map.png
Infografik “Timeline”:
http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infogra
phic_EQtimeline_4_1024.png
Infografik “Equation Group Familiy”:
http://newsroom.kaspersky.eu/fileadmin/user_upload/de/Downloads/PDFs/Kaspersky_infogra
phic_EQ_Family.png
Über Kaspersky Lab
Kaspersky Lab ist der weltweit größte privat geführte Anbieter von Endpoint-Sicherheitslösungen. Das Unternehmen zählt zu
den vier erfolgreichsten Herstellern von Sicherheitslösungen für Endpoint-Nutzer.* In seiner über 17-jährigen
Unternehmensgeschichte hat Kaspersky Lab zahlreiche Innovationen im Bereich IT-Sicherheit auf den Weg gebracht und bietet
effektive digitale Sicherheitslösungen für Großunternehmen, KMU und Heimanwender. Kaspersky Lab, mit Holding in
Großbritannien, ist derzeit in rund 200 Ländern auf der ganzen Welt vertreten und schützt über 400 Millionen Nutzer weltweit.
Weitere Informationen zu Kaspersky Lab finden Sie unter http://www.kaspersky.com/de/. Kurzinformationen erhalten Sie zudem
über www.twitter.com/Kaspersky_DACH und www.facebook.com/Kaspersky.Lab.DACH. Aktuelles zu Viren, Spyware, Spam
sowie Informationen zu weiteren IT-Sicherheitsproblemen und -Trends sind unter www.viruslist.de und auf dem Kaspersky-Blog
auf http://blog.kaspersky.de/ abrufbar.
* The company was rated fourth in the IDC rating Worldwide Endpoint Security Revenue by Vendor, 2012. The rating was published in
the IDC report "Worldwide Endpoint Security 2013–2017 Forecast and 2012 Vendor Shares (IDC #242618, August 2013). The report
ranked software vendors according to earnings from sales of endpoint security solutions in 2012.
Redaktionskontakt:
essential media GmbH Kaspersky Labs GmbH
Florian Schafroth Stefan Rojacher
florian.schafroth@essentialmedia.de stefan.rojacher@kaspersky.comPressemitteilung: Equation Group: die Mutter der Cyber-Spionage Tel.: +49-89-7472-62-43 Tel.: +49-841-98-189-325 Fax: +49-89-7472-62-17 Fax: +49-841-98-189-100 Landwehrstraße 61 Despag-Straße 3 80336 München 85055 Ingolstadt © 2015 Kaspersky Lab. The information contained herein is subject to change without notice. The only warranties for Kaspersky Lab products and services are set forth in the express warranty statements accompanying such products and services. Nothing herein should be construed as constituting an additional warranty. Kaspersky Lab shall not be liable for technical or editorial errors or omissions contained herein.
Sie können auch lesen
