Lieferant des russischen Geheimdiensts FSB gehackt

Das russische Unternehmen SyTech, das für den Inlandsgeheimdienst FSB arbeitet, war offenbar das Ziel eines Hackerangriffs. Den unbekannten Tätern fielen dabei Informationen über interne Projekte der in Moskau ansässigen Organisation in die Hände. Unter anderem beschäftigt sich SyTech im Auftrag des FSB mit der Deanonymisierung von TOR-Traffic.

Der Einbruch fand am 13. Juli statt. Die Hacker, die sich selbst 0v1ru$ nennen, drangen in den Active-Directory-Server von SyTech ein, worüber sie Zugang zum gesamten Netzwerk des Unternehmens erhielten. Unter anderem kompromittierten sie eine Instanz der Projektverfolgungssoftware Jira.

Insgesamt erbeuteten sie 7,5 GByte Daten des FSB-Lieferanten. Außerdem kaperten sie dessen Website und zeigten dort ein sogenanntes Yoba Face, ein in Russland beliebte Emoji, das für Trolling steht. Screenshots der Server von SyTech veröffentlichten sie zudem auf Twitter und die gestohlen Daten übergaben sie einer als Digital Revolution bekannten Hackergruppe, die im vergangenen Jahr den FSB-Lieferanten Quantum geknackt hatte.

Diese zweite Gruppe machte Ende vergangener Woche schließlich die gestohlenen Daten öffentlich und übergab sie zudem Journalisten. Die wollen bei ihren Analysen herausgefunden haben, dass SyTech mindestens seit 2009 für den FSB arbeitete. So nennt BBC Russia unter anderem sechs Projekte, die sich mit der Sammlung von Daten über Social-Media-Nutzer und die Überwachung von E-Mail-Kommunikation von russischen Unternehmen beschäftigen.

Unter der Bezeichnung Nautilus-S versuchte SyTech, den Datenverkehr von TOR-Netzwerken zu deanonymisieren, und zwar mit der Hilfe von gefälschten TOR-Servern. Hope wiederum sollte die Topologie des russischen Internets aufdecken sowie dessen Verbindungen zu den Netzwerken anderer Staaten. Außerdem entwickelte SyTech im Auftrag des FSB ein Intranet für hochvertrauliche Daten von hohen Beamten wie Richtern und Vertretern lokaler Verwaltungen, das vom Rest des staatlichen IT-Netzwerks getrennt ist. Andere Projekte sollen sich mit Protokollen wie Jabber, ED2K und OpenFT beschäftigt haben. Von Digital Revolution auf Twitter veröffentlichte Dateien legen aber auch die Überwachung von Studenten und Rentnern nahe.

Mindestens zwei dieser Projekte wurde nachweislich umgesetzt. Laut BBC Russia startete das Projekt zur Deanonymisierung von TOR-Traffic bereits 2012. Rund zwei Jahre später fanden Forscher der Karlstad University in Schweden heraus, dass gefälschte TOR-Exit-Knoten versuchen, TOR-Traffic zu entschlüsseln. 18 der insgesamt 25 gefährlichen TOR-Server fanden die Forscher in Russland. Auf ihnen lief die TOR-Version 02.2.37, die nun auch in den durchgesickerten Dateien von SyTech genannt wird.

Das zweite umgesetzte Projekt ist Hope zur Analyse der Struktur des russischen Internets. Die Ergebnisse dieses Projekts erlaubten es Russland Anfang des Jahres, testweise das nationale Internet vom Rest des Word Wide Web abzutrennen.

SyTech hat seine Website inzwischen abgeschaltet. Anfragen von Medien zum dem Vorfall beantwortet das Unternehmen offenbar nicht.