ProjectSauron: Extrem gut getarnte Spionage-Malware war Jahre aktiv

Sicherheits-Experten haben eine Malware gefunden, die nach den bisherigen Erkenntnissen schon seit gut fünf Jahren im Einsatz ist und sich bisher erfolgreich einer Entdeckung entziehen konnte. Die Namensgebung für die Angreifer klingt entsprechend eindrucksvoll.

Von "ProjectSauron" ist die Rede, an anderer Stelle von "Strider", was ebenfalls aus Tolkiens "Der Herr der Ringe" entlehnt ist und der Tarnname von Aragorn war. Ohne Bezug auf Mittelerde ist lediglich die Malware selbst, die jetzt schlicht unter der Bezeichnung "Remsec" in die Datenbanken aufgenommen wurde.

Mit der Analyse der Malware sind sowohl Sicherheitsexperten bei Kaspersky als auch bei Symantec befasst. Die Ziele waren offenbar stets sehr gezielt ausgewählt. Genannt werden hier Einzelpersonen in Russland, eine chinesische Fluggesellschaft, eine Organisation aus Schweden und eine Botschaft in Belgien. Hinzu kämen Forschungseinrichtungen, militärische Objekte sowie Telekommunikations- und Finanzunternehmen.

Dass die Malware so lange unentdeckt operieren konnte, liegt unter anderem daran, dass bei ihrem Design augenscheinlich gezielt darauf hingearbeitet wurde, die Muster zu vermeiden, nach denen Sicherheitsforscher für gewöhnlich suchen. Auf die Schliche kamen Kaspersky-Experten dem Schädling auch erst, als sie von einem Unternehmen hinzugezogen wurden, dem dann doch einige ungewöhnliche Netzwerk-Aktivitäten aufgefallen waren.

Spionage auf unvernetzten PCs

Und auch darüber hinaus handelt es sich den Angaben zufolge um eine ziemlich raffinierte Spionage-Software. Diese kann beispielsweise auch Rechner auskundschaften, die aus Sicherheitsgründen nicht an ein Netzwerk angeschlossen sind. Solche werden über einen USB-Stick infiziert. Und auf dem Gerät speichert die Malware dann interessante Informationen mit, bis erneut ein Wechselmedium angeschlossen wird. Diesem gibt man die Daten dann in der Hoffnung mit, dass der Speicher bald an einen vernetzten Rechner gesteckt wird.

Wer hinter der Malware steckt, ist derzeit noch völlig unklar. Der nötige Entwicklungs-Aufwand und auch einige Komponenten deuten allerdings darauf hin, dass staatliche Stellen zumindest ihre Finger im Spiel hatten. Einige Teile sollen beispielsweise an die Flamer-Malware erinnern, die ihrerseits Verbindungen zu Stuxnet hatte, mit dem vor einigen Jahren das Atom-Programm des Iran angegriffen wurde. Hier deuteten die Indizien auf US-Geheimdienste.