Cyberspionage-Kampagne Roter Oktober greift Regierungen an

Kaspersky Lab weist auf eine mindestens seit fünf Jahren laufende Cyberspionage-Kampagne hin. „Red October“ oder „Roter Oktober“ zielt auf Regierungssysteme beispielsweise in Botschaften ab. Die dahinterstehende Organisation verwende offenbar kyrillische Schrift; Russland sei zugleich das Hauptziel der Angriffswelle, heißt es. Entsprechend wurde der Name gewählt, der sich auf die Oktoberrevolution von 1917 bezieht.

Den Angreifern ist es Kaspersky zufolge gelungen, Daten von zahlreichen Geräten zu stehlen, darunter PCs und iPhones, aber auch Smartphones anderer Hersteller, Wechselfestplatten und Netzwerkausrüstung etwa von Cisco.

Auf den russischen Ursprung weisen Kaspersky zufolge die Registrierungsdaten des Kommandoservers und zahlreiche Artefakte in den verwendeten ausführbaren Dateien hin. Auch versuche die Malware, die Zeichenkodierung infizierter Systeme auf „1251“ umzustellen. „Dies ist nötig, um Dateien und Verzeichnisse mit kyrillischen Buchstaben im Namen anzusprechen.“ Kyrillisch schreiben außer Russland etwa Bosnien, Bulgarien, Serbien, Tadschikistan, die Ukraine und Weißrussland.

Es gibt aber „keine Beweise im engeren Sinne“, dass ein Staat hinter der Spionage steckt, wie Vitaly Kamluk von Kaspersky gegenüber TechWeekEurope erklärt hat. Klar sei, dass man bisher wenige derart gezielte Kampagnen gesehen habe. „Die Angreifer hinter ‚Roter Oktober‘ scheinen hinter spezifischen Organisationen her zu sein. Sie sind an hochwertigen, hochrangigen Informationen interessiert. Das erklärt, warum die Zahl infizierter Maschinen so niedrig ist – knapp über 300. Jedes Ziel wurde extra ausgesucht.“

Nicht alle Ziele hätten außerdem dieselbe Binärdatei erhalten. „In der Malware ist eine Nutzer-ID zu finden, was zeigt, dass sie für jedes Ziel separat kompiliert wird.“ Der eigentliche Code sei allerdings nicht neu, sondern eine Weiterentwicklung einer chinesischen Malware, mit der zuvor Tibet-Aktivisten ausspioniert wurden.

Die meisten infizierten Systeme – nämlich 35 – fanden sich in Russland. Es folgt Kasachstan mit 21. In Aserbaidschan, Belgien und Indien wurden je 15 Rechner befallen. Zu den Zielen zählten Forschungsstellen von Regierungen in Kasachstan, Russland und Weißrussland, aber auch Botschaften im Iran, in Irland und Russland. Außerdem wurden Energie- und vor allem Kernenergie-Konzerne ebenso wie Militärzentralen in Kasachstan und Russland infiziert. Alle Zahlen beziehen sich ausschließlich auf Kaspersky-Kunden; die Zahl der insgesamt ausspionierten Systeme dürfte höher sein.

Die Malware wurde durch sogenanntes Speerphishing verteilt – also in Form von gezielt versandten E-Mails, die Anwender zum Download einer Malware bringen sollten. Anschließend installierte der Kommandoserver bestimmte Module nach. Auf iPhones griffen die Infektionen nicht über, stahlen deren Daten aber via iTunes. Auf Windows Phones fand sich direkt Schadcode.

Unter anderem versuchte die Malware, Daten von Verschlüsselungssystemen zu stehlen. Darunter war eines, das auch das Europäische Parlament und die Europäische Kommission seit Sommer 2011 einsetzen.

Um sich zu tarnen, schufen die Spione eine Kommandoserver-Architektur mit 60 Domainnamen in diversen Ländern. Als besonders raffiniert stuft Kaspersky ein Modul ein, das eine erneute Infektion von Systemen ermöglicht, zu denen der Kontakt abgebrochen scheint. „Diese Kampagne verwendet eine Reihe einmaliger Module, und das ist eines davon“, sagt Kamluk. „Es wird als Plug-in für Microsoft Office oder Acrobat Reader installiert. Es wartet darauf, dass eine ganz bestimmte Datei geöffnet wird. Darin stecken keine besonderen Schwachstellen, aber eine digitale Kennung, die das Plug-in prüft. Wenn die Kennung zur Signatur passt, wird das Modul versuchen, eine eingebettete, verschlüsselte Executable zu entpacken und auszuführen.“ Eine solche Datei, die nicht als Malware erkennbar ist, schickten die Kriminellen an Zielsysteme, zu denen sie den Kontakt verloren hatten.

[mit Material von Tom Brewster, TechWeekEurope.co.uk]