Das berichten die Sicherheitsexperten von Kaspersky Lab. Gemeinsam mit dem Citizen Lab der Universität Toronto analysierte man den "Galileo" genannten RCS-Trojaner, dessen mehr als 320 Command-and-Control Server in über 40 Ländern entdeckt wurden - unter anderem in den USA, China, Großbritannien und Kanada. Opfer der Software, die auf den mobilen Plattformen Android und iOS läuft, seien laut Kaspersky Aktivisten, Menschenrechtler, Journalisten und Politiker.
"Die Tatsache, dass C&C-Server in ein bestimmten Land zu finden sind, bedeutet natürlich nicht automatisch, dass sie auch von den dortigen Strafverfolgungsbehörden genutzt werden", erklärt Sergey Golovanov, Principal Security Researcher bei Kaspersky Lab. "Allerdings macht es für die Anwender von RCS durchaus Sinn, die Server in Regionen einzusetzen, die sie kontrollieren können, damit sie nur ein minimales Risiko grenzübergreifender rechtlicher Probleme oder einer Beschlagnahmung der Server hätten."
Was der Trojaner kann
Galileo, von HackingTeam ganz offiziell vertrieben, kann mobile Geräte im großen Stil fernsteuern und auslesen. Laut Kaspersky sei es damit möglich, das Gerät zu orten, Kalendereinträge auszulesen Fotos aufzunehmen, das Mikrofon einzuschalten, Telefonate, SMS, WhatsApp und Skype zu überwachen.
Um auf das Smartphone des Opfers zu gelangen, kommen klassische Hacking-Methoden wie Spear Phishing, Social Engineering und das Ausnutzen von Zero-Day-Sicherheitslücken zum Einsatz. iPhones müssen jedoch vorher "gejailbreaked" worden sein. Die Kaspersky-Forscher haben zudem einige speziell auf die jeweilige Zielperson angepasste Galileo-Derivate entdeckt.
Damit Galileo von seinen Opfern nicht entdeckt wird, haben die Entwickler viel Wert darauf gelegt, dass der Trojaner akkuschonend "arbeitet" und möglichst erst dann aktiv wird, wenn bestimmte Situationen eintreten. Beispielsweise startet eine Audio-Aufzeichnung nur dann, wenn sich das Gerät des Opfers mit einem bestimmten WLAN (etwa dem am Arbeitsplatz) verbunden hat, wenn die SIM-Karte ausgetauscht wird, oder sich die Batterie gerade auflädt.
Die Vorgeschichte
Dass die Firma HackingTeam mobile Trojaner für die Betriebssysteme Android und iOS herstellt, war seit längerem bekannt. Die Schadsoftware wurde jedoch noch nie bei einem Angriff entdeckt und identifiziert. Auch die Experten von Kaspersky Lab beschäftigen sich schon seit Jahren mit der RCS-Malware. Sie konnten in diesem Jahr zunächst einige Samples mobiler Module identifizieren, die zu den zu vorher gefundenen Konfigurationsdateien der RCS-Malware passten. Zuletzt wurden weitere Sample-Varianten über das Cloud-basierte Kaspersky Security Network (KSN) gemeldet, bei dem Informationen zu Cyberattacken auf Kaspersky-Kunden anonym, vertraulich und auf freiwilliger Basis erhoben werden.
Wer sein eigenes Mobilgerät auf mögliche Galileo-Infektionen hin prüfen möchte, achtet auf die folgenden Malware-Bezeichnungen (Kaspersky-Beschreibungen): Backdoor.Win32.Korablin, Backdoor.Win64.Korablin, Backdoor.Multi.Korablin, Rootkit.Win32.Korablin, Rootkit.Win64.Korablin, Rootkit.OSX.Morcut, Trojan.OSX.Morcut, Trojan.Multi.Korablin, Trojan.Win32.Agent, Trojan-Dropper.Win32.Korablin, Trojan-PSW.Win32.Agent, Trojan-Spy.AndroidOS.Mekir und Backdoor.AndroidOS.Criag.
Weitere Informationen zu Galileo stehen bei securelist.com zur Verfügung. (sh)
- Datenklau droht überall
Gerade wenn sensible Daten zwischen verschiedenen Personen über Unternehmens- und Landesgrenzen hinweg ausgetauscht werden, muss deshalb eine Kombination verschiedener Verfahren dafür sorgen, dass Dokumente und Daten sowohl beim Transport als auch beim Herunterladen auf fremde Endgeräte geschützt sind. Informationsschutz beinhaltet unter anderem: - Eine Zwei-Faktor-Authentifizierung ...
... zum Beispiel über eine SMS-TAN und ein Benutzer-Passwort. - Vertrauliche Dokumente werden ...
... verschlüsselt auf dem Server abgelegt. Außerdem findet bei jeder Datenübertragung ebenfalls eine Verschlüsselung statt. - Shielding muss dafür sorgen, ...
... dass IT-Abteilung und IT-Provider keinen Zugriff auf die Daten erlangen. Das ist durch konsequente Trennung von Anwendungs- und Systemadministration und integrierte Freigabeprozesse mit Vier-Augen-Prinzip für sicherheitsrelevante Administrationsfunktionen sicherzustellen. - Mit Digital-Rights-Management ...
... ist eine koordinierte Zugriffsverwaltung möglich, können Berechtigungskonzepte erstellt werden und erfolgt eine revisionssichere Protokollierung aller Aktionen, die an Dokumenten und Datensätze ausgeübt wurden. - Wasserzeichen ...
... können verhindern, dass sensible Daten unautorisiert weitergegeben werden. - Ablage der Daten ...
... in sicheren, ISO zertifizierten Rechenzentren, auf die kein Zugriff von Seiten ausländischer Geheimdienste besteht.