GPL: US-Regierung soll Trojaner-Quellcode freigeben

Die drei in der letzten Zeit aufgetauchten Schadprogramme Stuxnet, Duqu und Flame, hinter denen offenbar staatliche Stellen stehen, enthalten offenbar auch Quellcodes, die unter der freien Lizenz GPL zur Verfügung stehen. Aber auch andere Open Source-Software kam bei der Entwicklung zum Einsatz. Ein Mitarbeiter des Labors für Kryptographie und Systemsicherheit der Universität von Budapest hat die Schädlinge unter einem Blickwinkel betrachtet, der bisher nur wenig Beachtung fand: Welche im Netz verfügbaren Open Source-Programme oder Bibliotheken kamen zum Einsatz?

Bei Duqu, dessen Quellcode mit Stuxnet eng verwandt sein soll und der deshalb vermutlich aus der gleichen Quelle stammt, kommt unter anderem eine modifizierte LZO-Bibliothek zum Einsatz. Dabei handelt es sich um eine Bibliothek für verlustfreie Datenkompression. Diese wurde von ihren Entwicklern unter der GPL-Lizenz freigegeben.

Nun besagt die Lizenz, dass die unter ihr ausgelieferten Quellcodes frei verwendet werden dürfen, das neu entstandene Programm aber ebenfalls der GPL unterliegen und der Quellcode mitgeliefert werden muss. Aufgrund dessen veröffentlichte der Mitarbeiter in einem Blog-Beitrag die nicht ganz ernst gemeinte Aufforderung an die US-Regierung - deren Unterorganisationen mit hoher Wahrscheinlichkeit die Quelle der Malware sind - den ursprünglichen Quellcode von Stuxnet und Duqu gefälligst freizugeben.

Andere Nutzer merkten hingegen an, dass eine Forderung nach Freigabe des Quellcodes eigentlich gar nicht erst auf die GPL gestützt werden müsste. In den USA gilt ohnehin, dass alle Inhalte, die von staatlichen Behörden mit Finanzierung aus Steuergeldern erstellt werden, der Public Domain gehören, also von jedermann frei genutzt werden dürfen.

Laut der Analyse bedienten sich auch die Entwickler der erst kürzlich entdeckten Spionage-Malware Flame im Open Source-Lager. Hier kamen unter anderem Bibliotheken zum Einsatz, die unter der MIT Licence, einer BSD-Lizenz und anderen Lizenzen, die in der Open Source-Szene geläufig sind, freigegeben wurden.