Computervirus Flame: Anatomie eines Hightech-Schädlings

Von und

Er kann Gespräche belauschen, Dateien übertragen, Chats protokollieren: Russische IT-Experten haben ein Spionageprogramm entdeckt, das rund tausend Rechner im Nahen Osten überwachen soll. Die Forscher nennen den Schädling "unglaublich komplex". Ein Überblick, was der Virus kann.

Flame-Code: Das Schadprogramm spioniert Computer im Nahen Osten aus Zur Großansicht

Flame-Code: Das Schadprogramm spioniert Computer im Nahen Osten aus

Hamburg - Die Kaspersky-Forscher klingen fast ehrfürchtig, wenn sie sich zu der neu entdeckten Schadsoftware Flame äußern. Man habe es "mit einer der komplexesten Bedrohungen, die je entdeckt worden sind" zu tun, schreiben die Mitarbeiter des russischen Antivirus-Unternehmens in ihrer Analyse des auf Rechnern im Nahen Osten entdeckten Schnüffelprogramms. Nach Stuxnet und Duqu ist Flame die dritte offenbar mit gewaltigem Aufwand produzierte Cyberwaffe, die Virenforscher in freier Wildbahn aufgespürt haben.

Das Zwanzig-Megabyte-Paket, das die vollständig entpackte Version von Flame darstellt, besteht aus einer Vielzahl von Modulen mit unterschiedlichen Kompressions- und Verschlüsselungstechniken. "Es ist ziemlich phantastisch und unglaublich, was die Komplexität angeht", sagte Kaspersky-Forscher Alexander Gostev "Wired". Flame enthält 20 Plug-ins, einzelne Softwaremodule, die ausgetauscht werden können, um den Angreifern die jeweils gewünschte Funktionalität zur Verfügung zu stellen.

Welchem Zweck dient das Schadprogramm?

Die Macher von Flame sind nicht auf das schnelle Geld aus - ihr Schadprogramm ist nicht auf Online-Banking oder andere lukrative Web-Anwendungen ausgerichtet. Die Kaspersky-Experten haben diese Eigenschaften beobachtet:

  • Flame kann interne Mikrofone befallener Rechner nutzen, um beispielsweise Gespräche in Büros oder aber Voice-over-IP-Telefonate aufzuzeichnen. Die Aufzeichnungen werden komprimiert gespeichert und regelmäßig an die Steuercomputer übertragen.
  • Die Schadsoftware zeichnet mit Screenshots Bildschirminhalte auf - besonders viele Screenshots werden immer dann gemacht, wenn bestimmte Anwendungen laufen, zum Beispiel Chatprogramme.
  • Bei der von den Kaspersky-Experten analysierten Flame-Version ist kein spezifisches Erkenntnisinteresse zu beobachten: Das Programm überträgt von befallenen Rechnern E-Mails und Dateien ohne besondere Einschränkung. Die Kaspersky-Experten schließen daraus, Flame sei ein allgemeines Werkzeug-Set für Cyberspionage - es könne aber auch Module für spezifische Angriffe und konkrete Ziele transportieren.
  • In jedem Fall ist die Software mit einer Hintertür ausgestattet, die das Nachladen von Komponenten gestattet - theoretisch ist Flame also eine Allzweckwaffe.
  • Nach der bisherigen Verbreitung zu urteilen, zielt Flame vor allem auf Rechner in Staaten im Nahen Osten und Nordafrika: Iran, Sudan, Syrien, Saudi-Arabien, Ägypten, Libanon und das Westjordanland sind Kaspersky zufolge betroffen.

Wie verbreitet sich Flame?

Wahrscheinlich gelangt der Virus bei gezielten Angriffen in Netzwerke und auf Einzelrechner: Eine auf bestimmte Empfänger zugeschnittene E-Mail verleitet sie dazu, eine Website aufzurufen oder eine angehängte Datei zu öffnen. Sobald sie das tun, beginnt die Infektion des gerade genutzten Rechners. Diese als "Spear Phishing" bezeichnete Methode wird oft bei Spionage-Angriffen auf Regierungen, internationale Organisationen und Unternehmen genutzt.

Wie die Erstinfektion durch Flame abläuft, konnten die Kaspersky-Experten bislang nicht nachvollziehen. Sie vermuten allerdings, dass dabei eine Windows-Sicherheitslücke ausgenutzt wird.

Einmal auf einem Zielrechner aktiv, können die Befehlsgeber Flame verschiedene Module nachladen lassen, um weitere Computer zu befallen:

  • Infektion angeschlossener USB-Sticks: Die von Kaspersky untersuchte Flame-Version beinhaltet zwei Module zu diesem Zweck. Eines der Module nutzt einen Angriffsweg, den die Kasperksy-Experten bislang nur bei Stuxnet beobachtet haben.
  • Verbreitung in lokalen Netzwerken: Wie Stuxnet nutzt Flame dabei unter anderem eine Sicherheitslücke, die eine Infektion weiterer Rechner über Netzwerk-Drucker ermöglicht. Kaspersky berichtet, dass ein Windows-7-System auf neuestem Stand über ein lokales Netzwerk mit Flame infiziert wurde. Sie vermuten deshalb, dass Flame eine Sicherheitslücke ausnutzen könnte, die Microsoft bislang unbekannt war (eine sogenannte Zero-Day-Lücke).

Flame verbreitet sich kontrolliert, laut Kaspersky muss ein Befehlsgeber erst das Kommando zur Infektion weiterer Computer an eine Flame-Installation geben, angeblich zählt jede Installation der Schadsoftware die von ihr ausgehenden Angriffe, die Anzahl ist laut Kaspersky beschränkt.

Welche Rechner sind befallen?

Alles in allem sind Kasperskys Schätzungen zufolge etwa 1000 Rechner von den diversen Varianten von Flame befallen - dabei handelt es sich allerdings um eine Hochrechnung. Das Prinzip ist: Kaspersky extrapoliert von der Anzahl der befallenen Computer im Kreise der eigenen Kundschaft auf den Rest der digitalen Welt. Solche Schätzungen sind zwangsläufig ziemlich spekulativ. Ein spezifisches Muster konnten die Forscher bei den befallenen Rechnern bislang nicht ausmachen: "Die Opfer reichen von Einzelpersonen über gewisse staatliche Organisationen bis hin zu Bildungseinrichtungen." Klar scheint jedoch zu sein, dass sich die Opfer des Virus vorrangig im Nahen Osten befinden.

Eine Forschergruppe der Technischen Universität Budapest hat in den vergangenen Wochen parallel zu Kaspersky womöglich eine Variante derselben Schadsoftware analysiert. Die Budapester Forscher schreiben in ihrem Bericht, das von ihnen untersuchte Schadprogramm sei wahrscheinlich von Europa aus auf einer Analyseseite hochgeladen worden. Für die Budapester Gruppe ist es "offenkundig", dass die von ihnen sKyWIper getaufte Schadsoftware "identisch" mit dem Flamer genannten Schädling ist.

Symantec, ein Hersteller von Antiviren-Software, berichtet über Funde von Flamer-Varianten vor allem auf Rechnern in Ungarn, der West Bank, im Iran und Libanon. Auch in Österreich, Russland, Hongkong und den Vereinigten Arabischen Emiraten habe man Hinweise auf Flamer entdeckt - so wenige allerdings, dass es sich dabei auch um unterwegs genutzte, in anderen Staaten infizierte Laptops handeln könnte.

Wann wurde das Programm geschrieben?

Das genaue Geburtsdatum von Flame ist derzeit offenbar kaum zu bestimmen. Die Entwickler haben sich größte Mühe gegeben, den Entstehungszeitpunkt so gut wie möglich zu verschleiern. Unterschiedliche Module der komplexen Schadsoftware scheinen auf den ersten Blick in Jahren entwickelt worden zu sein. "Die Module scheinen von 1994 und 1995 zu stammen, aber der Code, den sie enthalten, kam erst 2010 heraus", erklärte Kaspersky-Forscher Alexander Gostev "Wired".

Die frühesten Spuren des Virus in freier Wildbahn, die Kaspersky auf den Rechnern seiner eigenen Kundschaft finden konnte, sind aus dem August 2010 datiert. Das Internetsicherheitsunternehmen Webroot listet jedoch eine Datei, deren Name im Flame-Paket vorkommt, jedoch schon im Dezember 2007 auf. Betroffen war damals ein Rechner in Europa, im April 2008 ein weiterer in Dubai. Dieser und ein weiterer mit Flame assoziierter Dateiname wurde Webroot zufolge am 1. März 2010 erstmals auf einem Rechner in Iran nachgewiesen.

Bei Kaspersky geht man davon aus, dass Flame spätestens ab "Februar bis März 2010" aktiv war, möglicherweise auch schon früher. Die Forscher sind überzeugt, dass an dem Virus noch immer gearbeitet wird: "Seine Schöpfer führen in mehreren Modulen immer wieder Veränderungen durch, benutzen jedoch weiterhin dieselbe Architektur und dieselben Dateinamen." Einige der Module seien noch 2011 und sogar 2012 verändert worden.

Gibt es Verbindungen zu Stuxnet?

Auf den ersten Blick scheint Flame nicht aus dem gleichen Baukasten zusammengesetzt zu sein wie Stuxnet und Duqu. Die Plattform, die Kaspersky-Forscher "Tilded" getauft haben, auf der Stuxnet und Duqu basieren, gehört nicht zum genetischen Code von Flame. "Flame und Stuxnet/Duqu wurden vermutlich von zwei unterschiedlichen Gruppen entwickelt", schließen die Kaspersky-Forscher. Es sei allerdings möglich, dass die Autorenteams beider Virentypen Zugang zum gleichen Katalog von Sicherheitslücken gehabt hätten.

Flame nutze eine Infektionsmethode und eine bestimmte Sicherheitslücke, die auch in Stuxnet und Duqu zum Einsatz gekommen seien. Der nun neu entdeckte Flame-Virus basiere aber auf einer "vollkommen anderen Philosophie". Möglich sei auch, dass Flame nach Stuxnet entwickelt worden sei und die Flame-Autoren Angriffswege und Sicherheitslücken aus den Veröffentlichungen über Stuxnet übernommen hätten. Bei Kaspersky ist man sich jedoch offenbar sicher, dass Flame von einem ähnlich professionellen Team konstruiert worden sein muss wie Stuxnet und Duqu. Möglicherweise als "paralleles Projekt für den Fall, dass ein anderes Projekt entdeckt wird".

Das iranische Computersicherheitszentrum Maher sieht eine Verbindung zwischen Stuxnet, Duqu und Flame. Es scheine "eine enge Beziehung zu den gezielten Stuxnet- und Duqu-Attacken" zu geben, so die Iraner, das schließe man aus "den Konventionen, nach denen die Dateinamen vergeben wurden, den Fortpflanzungsmethoden, dem Komplexitätslevel, der präzisen Zielgerichtetheit und superben Funkionalität" der Schadsoftware.

In ihrem Umfang unterscheiden Stuxnet und Flame sich dramatisch: Alle Flame-Komponenten zusammengenommen verbrauchen 20 Megabyte Festplattenspeicher, während Stuxnet zwar mächtig aber extrem schlank war: Der Virus, der wohl Hunderte Uranzentrifugen in der iranischen Aufbereitungsanlage Natans zerstörte, war 500 Kilobyte klein. "Wired" zitiert Kaspersky-Forscher Gostev mit den Worten, es werde wohl Jahre dauern, bis der gesamte Flame-Code analysiert ist: "Wir haben ein halbes Jahr gebraucht, um Stuxnet zu analysieren. Das hier ist 20 mal komplizierter. Es wird uns zehn Jahre kosten, alles vollständig zu verstehen."

Der Autor auf Facebook

Diesen Artikel...
  • Aus Datenschutzgründen wird Ihre IP-Adresse nur dann gespeichert, wenn Sie angemeldeter und eingeloggter Facebook-Nutzer sind. Wenn Sie mehr zum Thema Datenschutz wissen wollen, klicken Sie auf das i.
  • Auf anderen Social Networks teilen

Forum - Diskutieren Sie über diesen Artikel
insgesamt 97 Beiträge
Alle Kommentare öffnen
    Seite 1    
1.
Walter Sobchak 29.05.2012
Unglaublich komplex. Aha. Klar, mit Lua Scripting und SQLite3 Datenbank ist es schon fast eine ausgewachsenes Office-Programm. Auch von der Groesse mit 20 MB nicht gerade leichtgewichtig. Die Snake-Oil Hersteller sollen sich mal nicht laecherlich machen.
2. Kommt alles zurück
albinzollingerjr. 29.05.2012
Kann nur eine Frage der Zeit sein, bis ein bemüht gefasst wirkender Pentagon-Mitarbeiter vom nächsten "Angriff auf Amerika" sprechen wird: Wer mit Drohnen und Viren operiert, kann schon heute damit rechnen, dass seine Feinde nach amerikanischen Totesopfern verlangen. Ich hatte ja gehofft, dass Amerikaner langsam erkennen, dass sie angreifbar sind. Hier spielen Militärs (und wer noch?) mit dem Leben von Zivilpersonen.
3. 1000 oder 5000 Infektionen?
helmar 29.05.2012
An anderer Stelle wird Kaspersky mit 5000 Infektionen zitiert. Hat sich was geändert an der Einschätzung? Nach http://www.crysys.hu/ sind auch europäische Rechner infiziert und CrySyS hat den gleichen Schädling untersucht.
4. Wir / us
Pat-Riot 29.05.2012
Zitat von sysopEr kann Gespräche belauschen, Dateien übertragen, Chats protokollieren: Das kann der Virus. Trojaner Flame: So arbeitet der Virus - SPIEGEL ONLINE (http://www.spiegel.de/netzwelt/web/0,1518,835652,00.html)
"Der" Virus kann alles außer Genus.
5. Diese Software
der_pirat 29.05.2012
wurde nicht von einer Person entwickelt... Aber sie zeigt, dass Auseinandersetzungen heute elektronisch geregelt werden. Und was lernen wir daraus?
Alle Kommentare öffnen
    Seite 1    
News verfolgen

HilfeLassen Sie sich mit kostenlosen Diensten auf dem Laufenden halten:

alles aus der Rubrik Netzwelt
Twitter | RSS
alles aus der Rubrik Web
RSS
alles zum Thema Computersicherheit
RSS

© SPIEGEL ONLINE 2012
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH



  • Drucken Senden
  • Nutzungsrechte Feedback
  • Kommentieren | 97 Kommentare

Flame-Verbreitungsgebiet (basierend auf Zahlen von Kaspersky Lab): Naher Osten im Fokus Zur Großansicht
SPIEGEL ONLINE

Flame-Verbreitungsgebiet (basierend auf Zahlen von Kaspersky Lab): Naher Osten im Fokus


Schad- und Spähsoftware
Klicken Sie auf die Stichworte, um mehr zu erfahren
Trojaner
Wie das Trojanische Pferd in der griechischen Mythologie verbergen Computer-Trojaner ihre eigentliche Aufgabe (und Schädlichkeit!) hinter einer Verkleidung. Meist treten sie als harmlose Software auf: Bildschirmschoner, Videodatei, Zugangsprogramm. Sie werden zum Beispiel als E-Mail-Anhang verbreitet. Wer das Programm startet, setzt damit immer eine verborgene Schadfunktion ein: Meist besteht diese aus der Öffnung einer sogenannten Backdoor , einer Hintertür, die das Computersystem gegenüber dem Internet öffnet und durch die weitere Schadprogramme nachgeladen werden.
Virus
Computerviren befallen vorhandene Dateien auf den Computern ihrer Opfer. Die Wirtsdateien funktionieren – zumindest eine Zeit lang - weiterhin wie zuvor. Denn Viren sollen nicht entdeckt werden. Sie verbreiten sich nicht selbständig, sondern sind darauf angewiesen, dass Computernutzer infizierte Dateien weitergeben, sie per E-Mail verschicken, auf USB-Sticks kopieren oder in Tauschbörsen einstellen. Von den anderen Schad- und Spähprogrammen unterscheidet sich ein Virus allein durch die Verbreitungsmethode. Welche Schäden er anrichtet, hängt allein vom Willen seiner Schöpfer ab.
Rootkit
Das kleine Kompositum führt die Worte "Wurzel" und "Bausatz" zusammen: "Root" ist bei Unix-Systemen der Benutzer mit den Administratorenrechten, der auch in die Tiefen des Systems eingreifen darf. Ein "Kit" ist eine Zusammenstellung von Werkzeugen. Ein Rootkit ist folglich ein Satz von Programmen, die mit vollem Zugriff auf das System eines Computers ausgestattet sind. Das ermöglicht dem Rootkit weitgehende Manipulationen, ohne dass diese beispielsweise von Virenscannern noch wahrgenommen werden können. Entweder das Rootkit enthält Software, die beispielsweise Sicherheitsscanner deaktiviert, oder es baut eine sogenannte Shell auf, die als eine Art Mini-Betriebssystem im Betriebssystem alle verdächtigen Vorgänge vor dem Rechner verbirgt. Das Gros der im Umlauf befindlichen Rootkits wird genutzt, um Trojaner , Viren und andere zusätzliche Schadsoftware über das Internet nachzuladen. Rootkits gehören zu den am schwersten aufspürbaren Kompromittierungen eines Rechners.
Wurm
Computerwürmer sind in der Praxis die getunte, tiefergelegte Variante der Viren und Trojaner. Im strengen Sinn wird mit dem Begriff nur ein Programm beschrieben, das für seine eigene Verbreitung sorgt - und der Programme, die es transportiert. Würmer enthalten als Kern ein Schadprogramm , das beispielsweise durch Initiierung eines eigenen E-Mail-Programms für die Weiterverbreitung von einem befallenen Rechner aus sorgt. Ihr Hauptverbreitungsweg sind folglich die kommunikativen Wege des Webs: E-Mails, Chats, AIMs , P2P-Börsen und andere. In der Praxis werden sie oft als Vehikel für die Verbreitung verschiedener anderer Schadprogramme genutzt.
Drive-by
Unter einem Drive-by versteht man die Beeinflussung eines Rechners oder sogar die Infizierung des PC durch den bloßen Besuch einer verseuchten Web-Seite. Die Methode liegt seit einigen Jahren sehr im Trend: Unter Ausnutzung aktueller Sicherheitslücken in Browsern und unter Einsatz von Scripten nimmt ein auf einer Web-Seite hinterlegter Schadcode Einfluss auf einen Rechner. So werden zum Beispiel Viren verbreitet, Schnüffelprogramme installiert, Browseranfragen zu Web-Seiten umgelenkt, die dafür bezahlen und anderes. Drive-bys sind besonders perfide, weil sie vom PC-Nutzer keine Aktivität (wie das Öffnen einer E-Mail) verlangen, sondern nur Unvorsichtigkeit. Opfer sind zumeist Nutzer, die ihre Software nicht durch regelmäßige Updates aktuell halten - also potentiell so gut wie jeder.
Botnetz
Botnets sind Netzwerke gekidnappter Rechner - den Bots. Mit Hilfe von Trojaner-Programmen, die sie beispielsweise durch manipulierte Web-Seiten oder fingierte E-Mails auf die Rechner einschleusen, erlangen die Botnet-Betreiber Zugriff auf die fremden PC und können sie via Web steuern. Solche Botnets zu vermieten, kann ein einträgliches Geschäft sein. Die Zombiearmeen werden unter anderem genutzt, um millionenfache Spam-Mails zu versenden, durch eine Vielzahl gleichzeitiger Anfragen Web-Seiten in die Knie zu zwingen oder in großem Stile Passwörter abzugrasen. (mehr bei SPIEGEL ONLINE)
Fakeware, Ransomware
Das Wort setzt sich aus "Fake", also "Fälschung", und "Ware", der Kurzform für Software zusammen: Es geht also um "falsche Software" . Gemeint sind Programme, die vorgeben, eine bestimmte Leistung zu erbringen, in Wahrheit aber etwas ganz anderes tun. Häufigste Form: angebliche IT-Sicherheitsprogramme oder Virenscanner. In ihrer harmlosesten Variante sind sie nutzlos, aber nervig: Sie warnen ständig vor irgendwelchen nicht existenten Viren und versuchen, den PC-Nutzer zu einem Kauf zu bewegen. Als Adware-Programme belästigen sie den Nutzer mit Werbung.

Die perfideste Form aber ist Ransomware : Sie kidnappt den Rechner regelrecht, macht ihn zur Geisel. Sie behindert oder verhindert das normale Arbeiten, lädt Viren aus dem Netz und stellt Forderungen auf eine "Reinigungsgebühr" oder Freigabegebühr, die nichts anderes ist als ein Lösegeld: Erst, wenn man zahlt, kann man mit dem Rechner wieder arbeiten. War 2006/2007 häufig, ist seitdem aber zurückgegangen.
Zero-Day-Exploits
Ein Zero-Day-Exploit nutzt eine Software-Sicherheitslücke bereits an dem Tag aus, an dem das Risiko überhaupt bemerkt wird. Normalerweise liefern sich Hersteller von Schutzsoftware und die Autoren von Schadprogrammen ein Kopf-an-Kopf-Rennen beim Stopfen, Abdichten und Ausnutzen bekanntgewordener Lücken.
Risiko Nummer eins: Nutzer
Das größte Sicherheitsrisiko in der Welt der Computer sitzt vor dem Rechner. Nicht nur mangelnde Disziplin bei nötigen Software-Updates machen den Nutzer gefährlich: Er hat auch eine große Vorliebe für kostenlose Musik aus obskuren Quellen, lustige Datei-Anhänge in E-Mails und eine große Kommunikationsfreude im ach so informellen Plauderraum des Webs. Die meisten Schäden in der IT dürften von Nutzer-Fingern auf Maustasten verursacht werden.
DDoS-Attacken
Sogenannte distribuierte Denial-of-Service-Attacken (DDoS) sind Angriffe, bei denen einzelne Server oder Netzwerke mit einer Flut von Anfragen anderer Rechner so lange überlastet werden, bis sie nicht mehr erreichbar sind. Üblicherweise werden für solche verteilten Attacken heutzutage sogenannte Botnetze verwendet, zusammengeschaltete Rechner, oft Tausende oder gar Zehntausende, die von einem Hacker oder einer Organisation ferngesteuert werden.

Anzeige
  • Christian Stöcker:
    Spielmacher

    Gespräche mit Pionieren der Gamesbranche.

    Mit Dan Houser ("Grand Theft Auto"), Ken Levine ("Bioshock"), Sid Meier ("Civilization"), Hideo Kojima ("Metal Gear Solid") u.v.A.

    SPIEGEL E-Book; 2,69 Euro.

  • Einfach und bequem: Direkt bei Amazon kaufen.