BlackHat: Trojaner für alle

Die Mitarbeiter des panamischen Internet-Anonymisierungsdiensts Xerobank, Steve Topletz, Kyle Williams und Jonathan Logan wollen auf der anstehenden Hackerkonferenz BlackHat in Las Vegas öffentlich ein bisher unerkanntes, weltweites Spionagenetzwerk enttarnen, das möglicherweise im Regierungsauftrag betrieben wird. Geplant ist der Vortrag „Global Spying“ am 29.07.2009 um 15.15 Uhr.

Das Netzwerk, das in vollem Gange sei, zeige eindrucksvoll, was bereits heute in puncto Massenüberwachung technisch möglich sei, so Topletz. Das Überwachungsprogramm sei seit mindestens 7 Jahren unerkannt im Einsatz, weil es hinter einer anderen, verbreiteten Freeware stecke, über deren Subventionierung sogar offen diskutiert werde. Die Freeware wird hierzulande unter anderem von Computerbild, Sueddeutsche.de, GMX oder MSN angepriesen. Das weltweit aktive Netzwerk spioniere einerseits die infizierten Rechner aus und versende die gesammelten Daten und greife gleichzeitig andere Rechner an. Die Referenten wollen auf der Konferenz unter anderem Logdateien und Videos zeigen. Angriffsziel des Netzwerks seien sowohl fremde Regierungs- als auch private Rechner. Die Referenten glauben, dass die Software auch eine heimliche Fernsteuerung des Rechners ermögliche, für die unter anderem authentifizierte Sessions und Cookies ausgenutzt würden. Die Spionagesoftware sei sogar so fortgeschritten, dass sie selbst die von der NSA und dem Department of Homeland Security entwickelte, noch nicht veröffentlichte Antispionagesoftware Einstein 3 unterlaufe.

Weitere Details, die anschließend hier ergänzt werden sollen, wollen die Referenten noch nicht veröffentlicht wissen, nachdem dies in einem ähnlichen Fall zu einer gerichtlichen Verhinderung des Vortrags geführt habe.

Auch in Deutschland erlaubt unter anderem § 20k des BKA-Gesetzes den heimlichen Einsatz von Online-Trojanern auf Computern, wobei die Vorschrift derzeit noch das Vorliegen einer Gefahr voraussetzt. Der Verdacht einer Straftat ist nicht notwendig. 2007 hatte BKA-Präsident Ziercke nach einem Bericht von Heise online noch verkündet, es gebe „keine Alternative zur Onlinedurchsuchung“. Nachdem die gesetzliche Grundlage dann geschaffen war, äußerte Ziercke noch Ende Mai, die Onlinedurchsuchung noch gar nicht eingesetzt zu haben, weil die bisherigen Befugnisse ausreichten.

Ergänzung vom 2009-08-04: Laut BlackHat-Referent Topletz verbergen sich die trojanischen Pferde hinter den „Antizensurprogrammen“ Ultrasurf und Gtunnel, wie auch aus seiner Präsentation hervorgehend. Beide Anwendungen würden vom sogenannten Global Internet Freedom Consortium herausgegeben, das sich für Informationsfreiheit einzusetzen vorgibt. Topletz vermutet hinter der Organisation einen privaten Ableger des chinesischen Geheimdiensts. Zum Beweis für die Aktivitäten der Software Ultrasurf hat Topletz unter anderem ein Video veröffentlicht, das mit Hilfe des Netzwerkanalysetools Wireshark zeigt, wie das Programm Verbindungen aufbaut, ohne, dass der Nutzer Anlass dazu gegeben hat. Zum Abspielen ist der Videocodec VMware Movie Decoder erforderlich.

Jonas

1 Stern2 Sterne3 Sterne4 Sterne5 Sterne (5 Bewertungen, durchschnittlich: 3,00 von 5)
Loading...
18.620mal gelesen

Beitrag per E-Mail versenden Beitrag per E-Mail versenden Seite drucken Seite drucken

Verwandte Artikel

Weitere Artikel zum Thema Datenschutz im Privatsektor, Metaowl-Watchblog

25 Kommentare »


  1. EXPLAIN! — 28. Juli 2009 @ 0.52 Uhr

    „Die Freeware wird hierzulande unter anderem von Computerbild, Sueddeutsche.de, GMX oder MSN angepriesen.“

    Was isn das für ein Wischiwaschi-Quatsch. Das kann von Linux bis Mohrhun alles sein.

    Überhaupt: Quelle?

    Quelle ist der BlackHat-Referent selbst. Weitere Infos hier nach dem Vortrag.


  2. Betreff — 29. Juli 2009 @ 13.41 Uhr

    Firefox? Skype? OpenOffice?


  3. Ja hier Dingens — 29. Juli 2009 @ 22.50 Uhr

    Ja, ich denke aber schon, dass es Mohrhuhn sein wird. Das Spiel war mit immer suspekt.


  4. Stream — 30. Juli 2009 @ 0.00 Uhr

    Gibt es von dem Vortrag einen Stream bzw. twittert jemand live?
    Oder muss ich hier auf das Update warten?


  5. Käse — 30. Juli 2009 @ 0.34 Uhr

    Also bei dem Zitat hier aus dem Text:
    „Die Referenten glauben, dass die Software auch eine heimliche Fernsteuerung des Rechners ermögliche, für die unter anderem authentifizierte Sessions und Cookies ausgenutzt würden.“
    Kann es sich nur um eine Ente handeln. Denn solch einen Quark würde mit Sicherheit keiner von sich geben, der Ahnung von Webtechnologie hat. Sessions sind Variablencluster, die auf dem Server, und nicht auf dem Host liegen, und Cookies sind zugriffsgekapselte Textdateien. Beide erlauben ganz sicher NIEMALS eine Fernsteuerung des Client-Rechners!


  6. Noch einer — 30. Juli 2009 @ 0.52 Uhr

    … geht`s noch weiter oder bin ich ungeduldig?
    kommt da auch was auf youtube?


  7. UltraSurf — 30. Juli 2009 @ 2.02 Uhr

    Laut http://twitter.com/SecShoggoth/statuses/2919494576 ist wohl UltraSurf gemeint. Passt auch von den angegebenen Daten. Mein Fehler, dass ich noch nie davon gehört habe? (Bei „Millions of Users“ anscheinend)

    Es handelt sich um die „Antizensursoftware“ UltraSurf. Ich kannte sie vorher auch nicht, halte das aber auch nicht für das Wesentliche. Morgen heißt die Software anders.


  8. wie wär es denn zB. mit Kaspersky — 30. Juli 2009 @ 10.14 Uhr

    Kaspersky Security Suite wird auf jeder CD der Computerbild vertrieben und ist für 3×3 Monate kostenlos. Updates gibt es auf der Webseite von CB.
    Wenn der Russe es darauf anlegt, kann er mit jedem (täglichen) Update auch Daten vom Rechner irgendwohin schicken. Fällt garantiert nicht auf.
    Wäre doch genial die Spyware in einer Antispyware unterzubringen.
    Avira wäre auch so ein Kandidat. (kostenlose Verbreitung unterstützt durch die Bundesregierung)


  9. Unwahr — 30. Juli 2009 @ 19.24 Uhr

    Sollte das überhaupt auf diesen Artikel zutreffen würde ich wohl Skype in die Liste der verdächtigen aufnehmen.

    Allerdings stellt sich diese Panikmachemeldung als schlecht recherchiert und absolut unwahr heraus. Der angegebene Vortrag beschäftigte sich im wesentlichen mit einer Machbarkeitsstudie besagter Überwachung und nicht mit der enttarnung eines ominösen freeware spynets.

    Naja whatever, internet halt.


  10. Lokam — 30. Juli 2009 @ 19.51 Uhr

    Hier der Vortrag: http://www.blackhat.com/presentations/bh-usa-09/TOPLETZ/BHUSA09-Topletz-GlobalSpying-PAPER.pdf

    Hier die Folien: http://www.blackhat.com/presentations/bh-usa-09/TOPLETZ/BHUSA09-Topletz-GlobalSpying-SLIDES.pdf

    Nächstes mal besser recherchieren…


  11. Update — 30. Juli 2009 @ 22.01 Uhr

    Das versprochene Update nach dem Vortrag steht noch aus…


  12. kommentar zu dem Post vom 29.Jul 2009 @ 13.41 Uhr — 31. Juli 2009 @ 0.06 Uhr

    an jene person, die da oben nach Firefox, Skype und OpenOffice gefragt hat: Firefox und OpenOffice sind Open-Source-Projekte. Open Source heißt, dass der komplette Quelltext des Programms von jedem runter geladen, gelesen und bearbeitet werden kann. Und es gibt mit sicherheit einige, die das auch tun. Ergo ist es unmöglich, besagtes Netzwerk über diese beiden Programme 7 Jahre lang laufen zu lassen, ohne, dass es jemand bemerkt. Völlig unvorstellbar. Das wär ja, als wenn man ne Email schreibt, in der man nen Bombenanschlag plant, und als zweitempfänger bewusst die nächste polizeistation mit einträgt…

    Avira wäre ein Kandidat: wird dauernd als top Antivirus angepriesen, findet nur die hälfte der alltäglichen Viren, telefoniert regelmäßig nach hause (was Otto Normalo natürlich zulässt, man will ja die aktuellen Viren-signaturen haben) und verursacht permament irgendwelche probleme.
    Skype könnte auch ein solcher Kandidat sein. Der Hersteller weigert sich, irgendwas von den Sources bekannt zu geben, bastelt stattdessen lieber selbst an versionen für alle möglichen Betriebssysteme. Wird überall als sicher angepriesen, datenverschlüsselung usw.
    Wäre nicht von Freeware die rede hätt ich mal pauschal auf Microsoft getippt, aber da es Freeware sein soll muss ich an Google denken, die sind doch öfter im Gespräch, wegen ihrer Logs…

    Aber wie weiter oben bereits in so nem schönen, fett-schwarzen kommentar erwähnt wurde, handelt es sich offenbar um ein antizensur-Programm (vermutlich irgendwas in richtung automatischer Proxy oder so) namens UltraSurf… mal sehen, was google dazu zu sagen hat: http://www.google.de/search?q=UltraSurf

    MFG
    Nu¥eN Ca$h

    Ich persönlich halte das bei Open Source zwar für unwahrscheinlicher, aber nicht für ausgeschlossen. Denn wie viele Firefox-Nutzer werden a) den Quellcode verständig prüfen und b) ihn selbst compilieren? Gerade das blinde Vertrauen in Open Source könnte ausgenutzt werden. Unter anderem gab es ja schon infizierte Versionen des Open-Source-Produkts Emule zum Download. Auch der Download von einer „vertrauenswürdigen“ Seite bringt nichts, wenn sie vorher gekapert wurde (wie z.B. 2007 die Seite der UN, 2008 von Kaspersky, 2009 die Seiten von Wolfgang Schäuble oder von der US-Army). Selbst, wenn das nicht gelingt, könnte man immer noch die Domain hijacken (wie z.B. 2004 eBay.de).


  13. Unnu — 31. Juli 2009 @ 0.25 Uhr

    Gibts was neues?
    Mit web bugs kann man auch einiges anstellen…….


  14. Netzwerk? — 31. Juli 2009 @ 12.28 Uhr

    Es war doch die Rede von einem Netzwerk, da kommt UltraSurf doch eher nicht in Frage, oder?

    Das einzige im Transcript genannte Netzwerk ist TOR!
    Das wird auch öfters mal genannt, aber „beworben“?
    Da könnte ich es mir allerdings vorstellen, wäre ja durchaus sinnvoll aus Überwacher-Sicht…


  15. Kommentar: 31. Juli 2009 @ 0.06 Uhr — 31. Juli 2009 @ 13.37 Uhr

    Natürlich kann man Trojaner in Open Source Programmen verstecken: entscheidend ist dabei ja nicht, was in den freien Quellen steht, sondern lediglich, was in den Binaries drinsteckt, die sich der allergrößte Teil der Nutzer runterlädt. Wer sich alles schonmal den Firefox für Windows selber kompiliert hat strecke bitte die Hand in die Luft. Genauso, wer schonmal eine Werksbegehung bei der Mozilla Foundation gemacht hat. 😉 Alles andere ist blindes Vertrauen.
    Ansonsten halte ich es durchaus für möglich, dass die ganze Meldung „Spionage-Netzwerk über Freeware“ gelogen ist, weil in den Folien zu der entsprechenden Präsentation, die man auf der Blackhat-Seite runterladen kann dazu überhaupt nichts steht.


  16. Ergänzung zu Kommentar: 31. Juli 2009 @ 0.06 Uhr — 31. Juli 2009 @ 13.41 Uhr

    Zum Thema Ultrasurf: die einzige Quelle dafür ist eine einzelne Twitter-Botschaft. Interessant, wie schnell daraus ein Gerücht wird. Solange da nicht eine etwas fundiertere Veröffentlichung Klarheit schafft, glaube ich erstmal gar nichts.
    Also Leute: plappert doch nicht alles ungeprüft nach. Selber nachdenken soll hin und wieder helfen.


  17. Unnu — 2. August 2009 @ 0.43 Uhr

    Gibts jetzt eigentlich irgendwelche Informationen?
    Ich habe auch was davon in einem live leak gelesen…


  18. Full Story — 2. August 2009 @ 7.15 Uhr

    Es ist definitiv Ultra Surf.

    Die volle Story findet sich unter

    http://www.networkworld.com/news/2009/073109-blackhat-ultrasurf.html


  19. Full Story — 2. August 2009 @ 7.15 Uhr

    http://www.networkworld.com/news/2009/073109-blackhat-ultrasurf.html


  20. Full Story — 2. August 2009 @ 7.16 Uhr

    http://www.mywot.com/en/forum/4064-an-examination-of-ultrasurf-finds-odd-activity


  21. Skyp - Hype — 2. August 2009 @ 12.52 Uhr

    Wer hier gegen Skype wettert, sollte sich mal daran erinnern wie der Amerikanische Geheimdienst den Machern von Skype 1 Milliarde Dollar geboten hatte, nur damit sie ihre Verschlüsselung preisgeben …


  22. Alles in allem sehr suspekt — 2. August 2009 @ 14.04 Uhr

    Ich bin ganz sicher kein Fachmann was Internettechnologie angeht, aber ehrlich gesagt habe ich noch nie so einen unausgegorenen Kram gelesen wie hier.
    NICHTS, aber auch gar nichts wird über ein Programm gesagt, das sich hier als das herausstellt, was in Frage käme.
    Was zum Teufel wird denn von GMX und anderen so gewaltig angeboten?
    Ehrlich gesagt fällt es mir schwer, diesem Text auch nur annähernd zu glauben, das bislang alles wohl reine Vermutung ist, aber nichts belegt oder wirklich bewiesen wurde.
    Komme mir hier gerade wie bei der BILD-Redaktion vor, die was schreiben wollen aber nicht wissen, wie man es spannend machen könnte und Aufruhr erreicht.

    Ziemlich traurig finde ich.

    Sehe ich nicht so. Die Beweise für die Tätigkeit der genannten Programme kann jeder, ohne vom Stuhl aufzustehen, mit Wireshark selbst überprüfen.


  23. was ist nun ? — 2. August 2009 @ 17.26 Uhr

    Vortrag ist lange vorbei. Was war die Software ?

    Bitteschön.


  24. Oh ja, es gibt eine! — 2. August 2009 @ 17.39 Uhr

    „…hat BKA-Präsident Ziercke verkündet, es gebe „keine Alternative zur Onlinedurchsuchung“.
    Oh ja, es gibt eine! Sogar eine sehr gute, die einzig faire, nämlich, KEINE Onlinedurchsuchung.!!!
    Ich bin nicht eigentum des Staates! „Ich“, das ist auch meine Privatsphäre.


  25. Trojaner für alle? — 2. August 2009 @ 22.56 Uhr

    Das Problem ist wohl nicht die Software direkt sondern die Proxy Server. Open Source kann da auch nicht weiterhelfen weil der Quellcode unverdächtig aussehen wird eher bei der Arbeit, mit welchen Servern er sich verbindet, wo ist der Initialisierungsserver oder kann ich selber Proxys eintragen?
    Verdächtig sind eine Menge von Programme, alle die mir die Arbeit erleichtern wollen obwohl ich sie nicht brauche wie Download Manager.
    Selbst wenn ich den Datenverkehr bei einer Fritz!Box mit
    >http://192.168.x.x/html/capture.html
    aufzeichne und dann mit Wireshark auswerte weiß ich immer noch nicht wenn denn so eine IP gehört.
    Vielleicht ohne an Rechner zu arbeiten aufpassen was so passiert.
    Alle Programme denen ich ungehinderten Internetzugang gewähren muss können solche Kunden sein.
    Vielleicht mal eine Datei „Bombenbauanleitung.doc“ mit irgend einem Inhalt schreiben und abspeichern und beobachten was passiert.
    Für sichere Verbindungen sollte man eine f2f benutzen.
    >http://de.wikipedia.org/wiki/Friend-to-friend

    Oder sich bei >https://privacybox.de/ umschauen (I2P).
    Wer sich aber Programme installiert die einem übers Internet eine Erleichterung versprechen sollte vorsichtig sein.
    Man kann auch Comodo 2 installieren (deutsch) und nix rauslassen oder wenigstens kontrollieren. Sicher ist das aber auch nicht.

RSS-feed für Kommentare zu diesem Beitrag · TrackBack-URI

Kommentieren Sie diesen Artikel


 
Stoppt die Vorratsdatenspeicherung! Jetzt klicken & handeln!Willst du auch bei der Aktion teilnehmen? Hier findest du alle relevanten Infos und Materialien: