Kaspersky findet neue Version des Staatstrojaners

Die Malware-Experten des Security-Unternehmens Kaspersky haben eine weitere Version des Staatstrojaners ausfindig gemacht. Diese enthält deutlich weitergehende Optionen als die bisher bekannten Spionage-Programme, die auf Landesebene eingesetzt wurden. Die Kaspersky-Analysten Tillmann Werner und Stefan Ortloff sprechen dabei vom "großen Bruder" des bekannten Backdoor-Trojaners, denn die entschlüsselte Datei enthält jetzt sechs Komponenten, die jeweils verschiedene Aufgaben erfüllen. Dabei kann der Trojaner nicht nur unter 32-Bit-Versionen von Windows aktiv werden, sondern auch auf 64-Bit-Versionen.

Die vom Chaos Computer Club (CCC) gezeigten Staatstrojaner waren in erster Linie darauf ausgelegt, Telefonate via Skype abzuhören. "Die von uns analysierte Version zeigt, dass es die Software neben Skype auch auf Web-Browser, verschiedene Instant Messenger und VoIP-Software wie ICQ, MSN Messenger, VoipBuster und Yahoo Messenger abgesehen hat", sagte Werner.

Die Experten hatten dabei nicht nur Zugriff auf die Binarys des Trojaners auf einem infizierten System, sondern auf die Installations-Routine, den so genannten Dropper. Die Voraussetzung dafür, auch 64-Bit-Systeme befallen zu können, ist eine integrierte elektronische Signatur, die im April des letzten Jahres vom nicht existenten Herausgeber Goose Cert ausgestellt wurde.

Dadurch stellt sich ein weiteres Problem: Wird das Zertifikat einer Software von Windows als gültige Signatur interpretiert, kann diese in der Regel auch unbemerkt von Antiviren-Scannern agieren. Kaspersky hat seine Scanner nach eigenen Angaben so nachjustiert, dass diese auch die neue Staatstrojaner-Variante erkennen.

Der deutlich höhere Funktionsumfang und das Ausstellungsdatum der Signatur zeigen erneut, dass den Behörden bisher die gesetzlichen Regelungen zum Einsatz solcher Trojaner schlicht egal waren. Das Bundesverfassungsgericht hatte bereits einige Zeit vorher klargestellt, dass nicht nur rechtlich, sondern auch technisch Sichergestellt werden müsse, dass eine Software zur Quellen-Telekommunikationsüberwachung auch wirklich nur das gewünschte IP-Telefonat und keine anderen Daten abgreifen kann.