Flame-Nachfolger: Kaspersky warnt vor Cyberspionage-Tool „Gauss“

Kaspersky hat nach eigenen Angaben ein neues Cyberspionage-Toolkit namens „Gauss“ entdeckt. Es ist in der Lage, vertrauliche Daten wie Browser-Passwörter, Zugangsdaten für Online-Banking, Cookies und Systemeinstellungen auszulesen. Dem russischen Sicherheitsanbieter zufolge erinnert es an die Malware Flame. Hinter Gauss steckten dieselben staatlich gestützten „Fabriken“, die auch für Stuxnet, Duqu und Flame verantwortlich seien.

Gauss sei etwa seit August oder September 2011 im Nahen Osten aktiv und im Juni 2012 entdeckt worden, schreibt Kaspersky im Securelist-Blog. Seine Befehlsserver seien im Juli geschlossen worden. Seitdem sei die Schadsoftware untätig und warte auf neue Anweisungen.

Das neue Cyberspionage-Tool kann laut Kaspersky auch Informationen über Netzwerkkarten, Computerlaufwerke und BIOS-Eigenschaften sammeln und an Angreifer übermitteln. Zur Infektion von USB-Sticks verwende Gauss dieselben Schwachstellen wie Stuxnet und Flame. Außerdem könne es sich unter bestimmten Umständen wieder von einer Festplatte löschen, um nicht entdeckt zu werden. Die gesammelten Daten speichere es dann auf Wechseldatenträgern in einer versteckten Datei.

Den Sicherheitsforschern zufolge hat Gauss seit Mai 2012 mehr als 2500 Computer im Libanon infiziert. Wahrscheinlich gebe es „mehrere Zehntausend“ Opfer der Malware. Die Zahlen seien niedriger als bei Stuxnet, aber höher als bei den Angriffen mit Flame und Duqu.

Bisher habe Gauss vor allem Daten von der Bank of Beirut, EBLF, BlomBank, ByblosBank, FransaBank und Credit Libanais entwendet. Kunden der Citibank und PayPal-Nutzer seien ebenfalls betroffen.

Unklar ist, ob Gauss ebenso wie Flame bisher unbekannte Sicherheitslücken nutzt, um sich zu verbreiten. „Da wir den Infektionsweg noch nicht kennen, gibt es eindeutig die Möglichkeit, dass ein unbekannter Exploit verwendet wird. Man sollte darauf hinweisen, dass die Mehrheit der Gauss-Opfer Windows 7 nutzt, das gegenüber dem .LNK-Exploit von Stuxnet immun sein sollte. Daher können wir nicht mit Sicherheit bestätigen, dass Gauss keine Zero-Day-Lücken verwendet.“

[mit Material von Larry Dignan, ZDNet.com]