Bereits im Juli berichtete netzpolitik.org, dass die russische Anti-Viren-Firma Doctor Web den kommerziellen Überwachungs-Trojaner Remote Control System der italienischen Firma Hacking Team enttarnt hat. Der Forscher Morgan Marquis-Boire hat heute bei Citizen Lab weitere Details veröffentlicht.
Politische Aktivisten im Visier
Anfang Juli gewann das unabhängige marokkanische Medienzentrum Mamfakinch („Wir geben nicht auf“) den Breaking Borders Award von Google und Global Voices für seine unabhängige Berichterstattung über Proteste in dem nordafrikanischen Land. Keine zwei Wochen später wurde von einer marokkanischen IP-Adresse eine Nachricht auf dem Kontaktformular hinterlassen, die auf einen Skandal hinwies, der in einem Word-Dokument nachzulesen sei. Beim Öffnen des Dokuments installierte sich eine Java-Datei, die den Rechner infizierte und eine Backdoor installierte.
Nur ein paar Tage im Juli später erhielt der Aktivist Ahmed Mansoor in den Vereinigten Arabischen Emiraten eine E‑Mail von der Adresse arabic.wikileaks@gmail.com. Dort hing das Word-Dokument „veryimportant.doc“ an, das beim Öffnen eine bekannte Lücke in Microsoft Office ausnutzte und ebenfalls eine Backdoor installierte.
Spähsoftware aus Europa
Laut Citizen Lab handelt es sich dabei in beiden Fällen um „Remote Control System“ (RCS) von Hacking Team. Das berichtete Ryan Gallagher im Online-Magazin Slate bereits im August. So entspreche die Funktionalität der untersuchten Spionagesoftware genau den beworbenen Fähigkeiten: die Übernahme des kompletten Rechners, der Mitschnitt aller Kommunikation und Tastendrücke, die Überwachung per Mikrofon und Kamera. Kurz: die volle Kontrolle.
Zudem taucht in den Backdoors der Pfad „C:/RCS/“ auf, ebenso wie „Guido“, der Name des Entwicklers. Die Untersuchungen der Anti-Viren-Firmen Dr. Web und Symantec wiesen ebenfalls diese Zeichenketten auf. Ein strukturell ähnliches Sample auf Virus Total kommunizierte außerdem mit der Domain „rcs-demo.hackingteam.it“.
Hacking Team, Italien
Der kommerzielle Staatstrojaner Remote Control System dürfte in einer anderen Liga spielen als die deutsche Firma DigiTask. Wie berichtet läuft RCS sowohl auf Windows als auch auf OS X und „allen großen Betriebssystemen von Rechnern und Smartphones“.
Im Juli berichtete netzpolitik.org:
Zwar verkaufen die Italiener nur an Staaten und eine Lizenz kostet 200.000 Euro pro Jahr. Trotzdem hatte man Ende letzten Jahres laut eigener Aussage um die 30 Behörden in circa zwei Dutzend Ländern beliefert. Die Software ist auf fünf Kontinenten im Einsatz, darunter auch der Nahe Osten, Nordafrika und Ostasien. Auf der Fachmesse Cyber Warfare Europe in Berlin letzten Jahres berichtete ein Firmensprecher von einigen tausend Zielpersonen, auf deren Geräten der Trojaner im Einsatz ist.
Vupen, Frankreich
Doch auch die französische Firma Vupen Security könnte in den aktuellen Fall involviert sein. Laut Marquis-Boire benutzt die gegen Mansoor eingesetzte Backdoor ähnlichen Shellcode wie das Sample bei Virus Total. Der dort verwendete Exploit verwendet jedoch eine Lücke im Adobe Flash Player, die schon im Januar von Vupen entdeckt, aber erst Ende August öffentlich bekannt und geschlossen wurde.
Vupen ist auf „offensive Security“ spezialisiert, das heißt sie forschen nach Lücken und verkaufen diese an den Meistbietenden. Letztes Jahr entwickelte das Team einen Exploit für Google Chrome, half aber nicht, die Lücke zu schließen. Dem Wirtschaftsmagazin Forbes sagte Firmen-Chef Chaouki Bekrar, dass man das auch für eine Million Dollar nicht sagen würde, da man die Lücke für viel mehr Geld an ihre Kunden verkaufen kann, die darüber Rechner infizieren wollen.
Digitaler Waffenhandel
Dass es nicht bei virtueller Überwachung bleibt, zeigt auch der aktuellen Fall. Die Angreifer hatten zunächst volle Kontrolle über den Rechner von Mansoor und lasen all seine E‑Mails mit, selbst nachdem er das Passwort geändert hat. In den letzten Wochen ist der dann zweimal auf offener Straße überfallen und zusammen geschlagen worden, wie Vernon Silver für Businessweek berichtet.
Der Einsatz von Überwachungstechnologien nimmt weltweit zu und wird fast schon alltäglich. Die bekannt gewordenen Fälle sind dabei nur die Spitze des Eisbergs. Die Richtung ist jedoch immer gleich: Entwickelt wird die Software in Europa, eingesetzt in autoritären Regimen auf der ganzen Welt. Und statt etwas dagegen zu tun, betrachtet es die deutsche Bundesregierung als Wirtschaftsförderung und unterstützt den Export solcher digitaler Waffen sogar noch.