Wikileaks macht 3 CIA-Hackingtools für Mac OS X und Linux öffentlich

Wikileaks hat die Veröffentlichung von mutmaßlichen Geheimdokumenten der Central Intelligence Agency fortgesetzt. Seit Ende vergangener Woche sind Details über weitere Hackingtools für MacOS und Linux erhältlich. Demnach verfügt der US-Geheimdienst über ein SeaPea genanntes Rootkit für Mac OS X 10.6 Snow Leopard und Mac OS X 10.7 Lion.

Unklar ist, ob das Rootkit auch für neuere Versionen von Apples Desktop-Betriebssystem geeignet ist. Das Dokument selbst, das zuletzt angeblich im Juli 2011 bearbeitet wurde, bezieht sich auf die Version 4.0 von SeaPea. Die CIA könnte eine neuere Version entwickelt haben, die auch unter Mac OS X 10.8 Mountain Lion, 10.9 Mavericks, 10.10 Yosemite, 10.11 El Capitan, 10.12 Sierra oder gar der kommenden Version 10.13 High Sierra läuft.

Der Beschreibung zufolge kann sich SeaPea verstecken und weitere Hacking-Tools starten. Zudem soll das Rootkit in der Lage sein, Dateien oder Verzeichnisse, Socket-Verbindungen und auch Systemprozesse zu verstecken. Die Installation erfolgt über ein Python-Skript, mit dem das Installations- und Startverzeichnis festgelegt werden. Zudem wird Rootzugriff benötigt – Mitarbeiter des Geheimdiensts müssen also bereits einen zu infizierenden Mac kontrollieren. Ob dies aus der Ferne geschieht oder über einen physischen Zugriff, lässt das Dokument offen.

Das Rootkit verbleibt demnach auf einem infizierten System, bis die Festplatte neu formatiert wurde. Auch ein Upgrade auf eine neue OS-Version soll das Rootkit unbrauchbar machen. Darüber hinaus soll es in der Lage sein, sich selbst zu löschen, falls es feststellt, dass es nicht mehr korrekt funktioniert. Die CIA weist in dem Dokument darauf hin, dass das Rootkit entdeckt werden kann, falls der Nutzer mit einem anderen Betriebssystem als Mac OS X auf die Festplatte zugreift. In dem Fall sei SeaPea nicht in der Lage, seine Dateien und Verzeichnisse zu verstecken.

Aus Juli 2015 stammt eine Bedienungsanleitung für ein Achilles genanntes Werkzeug, mit dessen Hilfe ein OS-X-Disk-Image (Dateiendung .dmg) mit einem Trojaner infiziert werden kann. Es wurde unter Mac OS X 10.8 Snow Leopard sowie mit Core-Duo-Prozessoren von Intel getestet.

DMG-Dateien werden unter Mac OS X zur Installation von Anwendungen benutzt. Eine solche infizierte Installationsdatei soll sich laut CIA genauso verhalten wie die ursprüngliche DMG-Datei. Beim ersten Start der legitimen Anwendungen sollen jedoch alle ausführbaren Dateien des Trojaners gestartet werden. Danach soll der Trojaner seine Spuren aus der infizierten Installationsdatei entfernen, sodass kein Unterschied zur legitimen Anwendung festgestellt werden kann. Allerdings können zumindest sehr versierte Nutzer einer App unter Umständen erkennen, das der Installer manipuliert wurde: Sollte normalerweise ein Lizenzvertrag während der Installation angezeigt werden, erscheint dieser nicht beim Start des manipulierten Installers.

Unter dem Namen Aeris führte die CIA indes eine in C geschriebene Malware für verschiedene Linux-Betriebssysteme in ihrem Arsenal. Sie war für Debian Linux 7 (32- und 64-Bit sowie ARM), Red Hat Enterprise Linux 6 (32- und 64-Bit), Solaris 11 (32-Bit x86 und Sparc), FreeBSD 8 (32- und 64-Bit) sowie CentOS 5.3 und 5.7 optimiert.

Aeris erlaubt es unter anderem, ausgehende E-Mails abzufangen und Dateien auszulesen. Die Malware kommuniziert zudem nur verschlüsselt mit Mitarbeitern des Geheimdiensts. Darüber hinaus soll Aeris bei der Entwicklung von Schadsoftware für spezifische Ziele und Zwecke zum Einsatz kommen. Auch hier ist unklar, ob auch neuere OS-Versionen betroffen sind und ob das Tool überhaupt noch von der CIA aktiv genutzt wird.

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.