Equation Group: 20 Jahre Cyber-Spionage

Die vermutlich schon seit fast zwei Jahrzehnten tätige "Equation Group" ist laut den Security-Forschern von Kaspersky Lab die bislang mächtigste – bekannte – Cyber-Spionage-Gruppierung. Sie hat es sogar geschafft, ihre "Werkzeuge" in Festplatten-Firmware und eigentlich isolierte "Air Gapped"-Netzwerke einzuschleusen. Die ihr zur Verfügung stehenden Mittel legen nahe, dass es sich um eine Regierungsorganisation handeln könnte – die auch mit den Betreibern von Stuxnet und Flame in Verbindung steht. [...]

Die IT-Sicherheitsexperten des Global Research and Analysis Teams (GReAT) von Kaspersky Lab beobachten seit einigen Jahren mehr als 60 fortschrittliche und für weltweite Cyberangriffe verantwortliche Bedrohungsakteure und analysieren dabei immer komplexer werdende Attacken. Dabei mischen immer mehr Nationalstaaten im Cyberspace mit und rüsten sich mit den fortschrittlichsten Werkzeugen aus. Laut einem Beitrag von Kaspersky Lab ist die Equation Group jedoch in annähernd all ihren Aktivitäten einzigartig: Sie nutzen Werkzeuge, die sehr kompliziert und kostenintensiv zu entwickeln sind. Damit infizieren sie ihre Opfer, rufen Daten ab und verbergen ihre Aktionen in einer außergewöhnlich professionellen Weise. Darüber hinaus nutzen sie auch klassische Spionage-Taktiken, um böswilligen Code bei ihren Opfern zu platzieren.

Zur Infektion setzt die Gruppe eine Reihe von „Implantaten“ (wie sie Trojaner in ihrem eigenen Jargon nennt) ein, darunter die von Kaspersky Lab wie folgt benannten: EquationLaser, EqationDrug, DoubleFantasy, TripleFantasy, Fanny und GrayFish. Laut den Security-Forschern existieren „zweifelsohne noch weitere Implantate“.

GRAYFISH: FESTPLATTE GEKAPERT
So wurden zwei Module entdeckt, mit denen die Neuprogrammierung der Festplatten-Firmware bei einem Dutzend weit verbreiteter Festplattenhersteller möglich ist. Dies ist vielleicht das stärkste Werkzeug im Arsenal der Equation Group und die erste bekannte Malware, die direkt Festplatten infiziert.

Das Ändern der Systemsoftware einer Festplatte hat schwerwiegende Folgen, etwa eine extrem hohe Widerstandsfähigkeit, mit der die Malware selbst die Formatierung der Festplatte oder eine Neuinstallation des Betriebs-Systems überlebt. Sobald die Malware in die Firmware gelangt, kann sie sich selbst immer wieder herstellen und das Löschen bestimmter Festplattenbereiche verhindern beziehungsweise diesen Bereich durch einen schädlichen während eines Systemneustarts ersetzen. „Ein weiterer gefährlicher Punkt: Wird eine Festplatte mit diesem gefährlichen Code infiziert, ist es unmöglich die Firmware zu scannen“, so Costin Raiu, Director des Global Research and Analysis Team bei Kaspersky Lab. „Einfacher gesagt: für die meisten Festplatten existieren Funktionen zum Beschreiben des Firmware-Bereichs ihrer Hardware, aber nicht zur Wiedergabe. Das bedeutet, dass wir praktisch blind sind und mit dieser Malware infizierte Festplatten nicht erkennen können.“

Die Möglichkeit, einen unsichtbaren und dauerhaften Bereich auf der Festplatte zu schaffen, wird auch genutzt, um herausgefilterte Informationen zu speichern, die später von den Angreifern abgerufen werden können. Zudem kann dies in einigen Fällen beim Knacken der Verschlüsselung hilfreich sein. „Wenn man sich vergegenwärtigt, dass deren GrayFish-Implantat ab dem Hochfahren eines Systems aktiv ist, kann man verstehen, dass die Angreifer in der Lage sind, das Verschlüsselungspasswort zu entwenden und es in ihrem versteckten Bereich zu speichern“, so Costin Raiu weiter.

FANNY: ISOLIERTE NETZE AUSSPIONIERT
Der so genannte Fanny-Wurm sticht ebenfalls unter den Angriffsmöglichkeiten der Equation Group heraus. Dessen Hauptzweck ist es, „Air Gapped“-Netzwerke abzubilden – also die Topologie eines Netzwerkes, das nicht über eine Leitung erreichbar ist, zu erfassen. Zu diesem Zweck wird ein bislang einmaliger USB-basierender Command & Control-Mechanismus eingesetzt, der es erlaubt, Daten aus nicht verbundenen Netzwerken hinein- und hinauszubringen. Das bedeutet, dass ein infizierter USB-Stick mit einem versteckten Speicherbereich eingesetzt wird, um grundlegende System-Informationen in nicht mit dem Internet verbundenen Computern einzusammeln. Sobald der USB-Stick in einen von Fanny infizierten und mit dem Internet verbundenen Computer gesteckt wird, sendet er diese Informationen an den Command & Control-Server. Wenn die Angreifer Befehle in den „AirGapped“-Netzwerken ausführen wollen, speichern sie diese Befehle im versteckten Bereich des USB-Sticks. Wird der USB-Stick mit dem „Air Gapped“-Computer verbunden, führt Fanny diesen Befehl aus.