Internet-Kommunikation Hochaktive Spionage-Software entdeckt

Die Spionage-Software Uroburos ist wegen ihrer zwei aufeinander angewiesenen Datei-Bestandteile nach einem antiken Symbol der schlange, die sich in den eigenen Schwanz beißt, benannt.
Die Spionage-Software Uroburos ist wegen ihrer zwei ineinander passenden Datei-Bestandteile nach einem antiken Symbol - der Schlange, die sich in den eigenen Schwanz beißt - benannt.

Die Sicherheitsexperten von G Data haben eine hochentwickelte und komplexe Schadsoftware entdeckt und analysiert, deren Ziel es ist, hochsensible und geheime Informationen aus High-Potential-Netzwerken, wie staatlichen Einrichtungen, Nachrichtendiensten oder Großunternehmen zu stehlen. Die Spionage-Software zeigt Indizien, dass sie russischen Ursprung hat.

Das Rootkit mit dem Namen Uroburos arbeitet autonom und verbreitet sich selbstständig in den infizierten Netzwerken. (Rootkits sind Software-Tools, die ihr eigene Existenz und ihr schädliches Arbeiten auf dem befallenen System durch Einarbeitung in die innerste Grundstruktur der Betriebssystem-Software verbergen können). Auch Rechner, die nicht direkt am Internet hängen, werden von diesem Schädling angegriffen.

Die Schadsoftware wurde von G Data entsprechend der Bezeichnung im Quellcode auf den Namen >>Uroburos<< getauft, angelehnt an ein altes griechisches Symbol einer Schlange oder eines Drachen welcher seinen eigenen Schwanz frisst. Der Name Uroburos kommt vor allem daher, dass dieser Rootkit einen Treiber und ein File-System in zwei unterschiedlichen und getrennten Dateien nutzt und diese beiden Bestandteile nur genau miteinander kombiniert arbeiten können (Kopf und Schwanz des Drachen-Symbols zusammengenommen).

Eine solche Software kann nach Einschätzung von G Data nur mit hohen Investitionen in Personal und Infrastruktur realisiert werden. Das Design und der hohe Komplexitätsgrad des Schädlings lassen daher einen Geheimdienstursprung vermuten. Aufgrund technischer Details, wie Dateinamen, Verschlüsselung, Verhalten der Schadsoftware, besteht die Vermutung, dass Uroburos von derselben Quelle stammen könnte, die bereits 2008 eine Cyberattacke gegen die USA durchgeführt hat. Damals kam eine Schadsoftware namens „Agent.BTZ“ zum Einsatz.

Uroburos überprüft die infizierten Systeme darauf, ob das Schadprogramm bereits installiert ist, in diesem Fall wird das Rootkit nicht aktiv. G Data fand außerdem Hinweise darauf, dass die Entwickler beider Schadprogramme Russisch sprechen.

Was kann die Software?

Uroburos ist ein Rootkit, das aus zwei Dateien besteht, einem Treiber sowie einem verschlüsselten virtuellen Dateisystem. Mit Hilfe dieses Schadprogramms kann der Angreifer die Kontrolle über den infizierten PC bekommen, beliebigen Programmcode auf dem Computer ausführen und dabei seine Systemaktivitäten verstecken. Uroburos ist außerdem in der Lage, Daten zu stehlen und den Netzwerkdatenverkehr mitzuschneiden. Durch den modularen Aufbau können Angreifer die Schadsoftware um weitere Funktionen erweitern. Aufgrund dieser Flexibilität und Modularität wird das Rootkit von G Data als sehr fortschrittlich und gefährlich eingestuft.

Uroburos ist darauf ausgelegt in großen Netzen von Firmen, Behörden, Organisationen und Forschungseinrichtungen zu agieren: Das Schadprogramm verbreitet sich selbstständig weiter und arbeitet in einem „peer-to-peer“ Modus, dabei kommunizieren die infizierten Computer in einem geschlossenen Netzwerk direkt miteinander. Die Täter brauchen dabei nur einen einzigen Rechner mit Internetzugriff. Das Muster zeigt, dass die Angreifer den Umstand berücksichtigen, dass in den Netzwerke oft auch PCs eingebunden sind, die nicht ans Internet angeschlossen sind. Die infizierten Rechner spionieren Dokumente und andere Daten aus und leiten diese an den PC mit der Internetverbindung weiter, hierüber werden alle zusammengetragenen Informationen an den Angreifer übermittelt. Uroburos unterstützt dabei sowohl 32- als auch 64-Bit Microsoft Windows-Systeme.

Nach Einschätzung des deutschen IT-Security Hersteller, ist das Spionageprogramm seit gut drei Jahren unentdeckt geblieben.