Vor einer  hochentwickelten Form der Cyberspionage, die mindestens seit 2012 im  Nahen Osten sowie in Afrika ihr Unwesen treibt, warnt derzeit der IT-Security-Spezialist Kaspersky Lab. Ausgangspunkt ist die Malware «Slingshot», die ihre Opfer über kompromittierte Router attackiert und infiziert.

Slingshot ist in der Lage, im Kernel-Modus zu laufen und erhält  somit vollständige Kontrolle über infizierte Geräte. Laut den Kaspersky-Experten nutzt der Bedrohungsakteur einige einzigartige  Techniken. So werden Informationen heimlich und effektiv ausgespäht,  indem der entsprechende Netzwerkverkehr in markierten Datenpaketen versteckt und ohne Spuren zu hinterlassen wieder aus dem regulären Datenstrom ausgelesen werden kann.

Die Security-Experten kamen der Operation Slingshot über den Fund eines  verdächtigen Keylogger-Programms auf die Spur. Sie erzeugten eine Signatur zur Verhaltenserkennung, um eine weitere Existenz des Codes zu überprüfen. So konnte ein infizierter Rechner ausgemacht werden, der in einem Systemordner eine verdächtige Datei mit dem Namen «scesrv.dll» aufwies. Die weitere Untersuchung dieser Datei ergab, dass schädlicher  Code in dieses Modul eingebettet war. Da die Bibliothek von  «services.exe», einem Prozess mit Systemrechten, geladen wird, verfügt  auch sie über die entsprechenden Berechtigungen.

Das Resultat: Die Experten waren auf einen hochentwickelten Eindringling gestossen, der  seinen Weg in das Innerste des Rechners gefunden hatte.

Die bemerkenswerteste Eigenschaft von Slingshot ist sein ungewöhnlicher  Angriffsweg. Die Kaspersky-Experten stellten bei mehreren Opfern fest, dass die Infektion in mehreren Fällen von infizierten Routern ausging.

Die hinter Slingshot stehende Gruppe hatte anscheinend die Router mit  einer schädlichen Dynamic Link Library (DLL) kompromittiert, die zum  Download anderer schädlicher Komponenten diente. Loggt sich ein  Administrator zur Konfiguration des Routers ein, lädt dessen Management-Software schädliche Module auf den Administratorrechner und  bringt sie dort zur Ausführung. Der ursprüngliche Infektionsweg der Router selbst bleibt bislang allerdings unklar.

Nach der Infektion lädt Slingshot mehrere Module auf die Geräte seiner  Opfer. Dazu gehören auch «Cahnadr» und «GollumApp». Die beiden Module  sind miteinander verbunden und unterstützen sich gegenseitig bei der  Sammlung von Informationen und deren Exfiltration sowie der möglichst  langen Überdauerung auf den Rechnern.

Der Hauptzweck von Slingshot scheint Cyberspionage zu sein. Unter  anderem werden Screenshots, Tastatureingaben, Netzwerkdaten, Passwörter,  USB-Verbindungen, weitere Desktop-Aktivitäten und Clipboard-Daten gesammelt, wobei der Kernel-Zugang den Zugriff auf jede Art von Daten  ermöglicht.

Die Advanced Persistent Threat (APT) verfügt über zahlreiche Techniken, um sich einer Erkennung zu widersetzen. Alle Zeichenketten in den Modulen sind verschlüsselt, und die Systemdienste werden direkt  aufgerufen, um Sicherheitslösungen keine Anhaltspunkte zu bieten. Hinzu kommen etliche Anti-Debugging-Techniken; auch wird vor der Auswahl eines  Prozesses zur Injizierung überprüft, welche Sicherheitslösungen  installiert sind.

Slingshot arbeitet wie eine passive Backdoor. Auch wenn die Malware über  keine hart codierte Command-and-Control-Adresse verfügt, erhält sie diese vom Operator, indem alle Netzwerkpakete im Kernel-Modus abgefangen werden und das Vorhandensein von zwei hart codierten «Magic Constants» in der Betreffzeile verfügbar sind. Ist das der Fall, bedeutet das, dass das Paket die C&C-Adresse enthält. Anschliessend baut Slingshot einen  verschlüsselten Kommunikationskanal zum C&C auf und beginnt mit der Übertragung von Daten zu deren Exfiltration.

Vermutlich besteht die Bedrohung bereits seit geraumer Zeit, denn die Experten fanden schädliche Samples, die als «Version 6.x» gekennzeichnet waren. Die Entwicklungsdauer des komplexen  Slingshot-Toolsets dürfte beträchtlich gewesen sein. Das gilt auch für die dafür benötigten Fähigkeiten und Kosten.

Zusammengenommen lassen diese Hinweise hinter Slingshot eine organisierte, professionelle und wohl auch staatlich-gestützte Gruppe vermuten. Hinweise im Text des Codes deuten auf eine englischsprachige Organisation hin. Eine genaue Zuschreibung ist jedoch schwierig bis unmöglich; zumal das Thema Attribution zunehmend selbst manipulations- und fehleranfällig ist.

Bislang waren laut den Kaspersky-Experten rund 100 Opfer von Slingshot und seinen zugeordneten Modulen betroffen. Die Angriffe fanden vorwiegend in Kenia und im Jemen statt, aber auch in Afghanistan, Libyen, Kongo, Jordanien, Türkei, Irak, Sudan, Somalia und Tansania. Sie  richteten sich scheinbar überwiegend gegen Privatpersonen und nicht  gegen Organisationen; allerdings zählten auch einige Regierungseinrichtungen zu den Opfern. 

Mehr Informationen zu Slingshot finden sich im Blog von Kaspersky Lab. unter