Operation Shady RAT

Operation Shady RAT (engl.; etwa „zwielichtige Ratte“ oder „verborgener Fernzugriff“) ist die Bezeichnung für Hackerangriffe, bei denen von etwa 2006 bis 2011 weltweit mindestens 72 Unternehmen, Organisationen und Regierungen systematisch ausgespäht wurden. Dmitri Alperovitch, ein Mitarbeiter des US-amerikanischen Computersicherheitsunternehmens McAfee, prägte die Bezeichnung, die auf den englischsprachigen Begriff Remote Access Tool (Fernzugriffssoftware) Bezug nimmt.

Aufdeckung

Am 2. August 2011, zum Beginn der „Black Hat“-Konferenz in Las Vegas, veröffentlichte Dmitri Alperovitch in einem offiziellen Blog von McAfee einen vierzehnseitigen Bericht, in dem er die seit März 2011 bei McAfee bekannten Fakten zusammenfasste, 72 Ziele der Hackerangriffe auflistete, und eine grafische Aufbereitung der Angriffe seit 2006 anbot. Er klassifizierte sie, wie die Operation Aurora und die Operation Night Dragon, die von China ausgingen, als Advanced Persistent Threat und damit als größere Bedrohung für Staaten und Unternehmen, als sie etwa von Gruppen wie Anonymous oder LulzSec ausgehe. Alperovitch informierte die amerikanische Regierung, den Kongress und Strafverfolgungsbehörden von seiner Entdeckung.

Bewertung

Während Alperovitch die mit Operation Shady RAT beschriebenen Angriffe als „beispiellos“ bezeichnete, den Datenverlust als wirtschaftliche Bedrohung von Unternehmen oder ganzen Ländern einschätzte und auch die Frage nach der nationalen Sicherheit aufwarf, waren die Sicherheitsforscher anderer Unternehmen wie Symantec, Kaspersky und Dell SecureWorks in ihren Beurteilungen zurückhaltender. Einzelheiten über das Ausmaß des Datenverlustes seien noch nicht bekannt und die technische Versiertheit der Angreifer nicht so hoch, wie zunächst angenommen. Der Symantec-Forscher Hon Lau bewertete die Operation Shady RAT zwar als „signifikant“, aber nur als „einen von vielen Angriffen, die täglich stattfinden“. Jewgeni Kasperski fasste zusammen, die Attacke sei überbewertet worden und verdiene nicht viel Beachtung. Sie sei mit kostengünstiger Software nicht von einem Staat, sondern von Kriminellen durchgeführt worden.

Vorgehensweise der Angreifer

2009 hatte McAfee einen zentralen Steuerungsserver identifiziert, auf dem sich Protokolle der Angriffe fanden und bis zur Mitte des Jahres 2006 nachverfolgt werden konnten. Möglicherweise hatten sie bereits früher begonnen und dauerten im Sommer 2011 noch an. Die Zugänge zu den jeweiligen Rechnersystemen wurden mit Hilfe von Spear-Phishing-E-Mails erreicht. Dabei werden E-Mails, die im Gegensatz zu anderen Phishing-Mails in ihrer korrekt wirkenden Aufmachung kaum von einer legitimen Nachricht unterschieden werden können, an Adressaten versandt, die bereits Zugang zum anzugreifenden Netz haben. Sie enthalten Malware, die dafür sorgt, dass der Angreifer den nunmehr infizierten Rechner von außen steuern kann. Einer Analyse des Softwarehauses Symantec zufolge wurden mit den E-Mails zunächst Dateianhänge verschickt, die das Interesse der Benutzer weckten und in gängigen Formaten gehalten waren. Sie enthielten Schadcode in Form von Trojanischen Pferden, der die befallenen Rechner zum Herunterladen von Bildern veranlasste, in denen mittels Steganographie weitere Befehle zum Fernzugriff verborgen waren.

Angegriffene Organisationen

Mindestens 72 Organisationen wurden angegriffen; von vielen weiteren nahm McAfee das an, ohne sie exakt identifizieren zu können. Unter ihnen finden sich Behörden der Vereinigten Staaten, Kanadas, Indiens, asiatischer Staaten, des Verbandes Südostasiatischer Nationen (ASEAN), der Vereinten Nationen, des Internationalen Olympischen Komitees, sowie verschiedene Unternehmen, eines davon in Deutschland. Mehrheitlich, in 49 Fällen, richteten sich die Angriffe gegen amerikanische Ziele. Der Schwerpunkt lag auf der Elektronik- und Rüstungsindustrie. Die Angreifer bewegten sich zwischen einem und 28 Monaten in den gehackten Systemen.

Bei den gestohlenen bzw. widerrechtlich kopierten Daten soll es sich Alperovitch zufolge unter anderem um Geheiminformationen der betroffenen Regierungen, Quellcodes für Software, Pläne zur Öl- und Gasförderung, Vertragstexte und E-Mails handeln. Das Volumen sei im Petabytebereich anzusiedeln. Ein Petabyte entspricht der Speicherkapazität von 250 handelsüblichen Festplatten zu je vier Terabyte.

Mögliche Täter

Bei McAfee wurde vermutet, dass die Cyberangriffe von staatlichen Stellen ausgingen, ohne jedoch konkret zu werden. Sie unterschieden sich, so Alperovitch, durch ihre Suche nach Geheimnissen und geistigem Eigentum von der üblichen Motivation Cyberkrimineller, die einen schnellen finanziellen Gewinn anstrebten. Das Interesse an Informationen aus westlichen und asiatischen Olympischen Komitees und der Weltantidopingagentur im Zusammenhang mit den Olympischen Sommerspielen 2008 spreche für einen Staat im Hintergrund, da sich diese Informationen nicht direkt in geschäftlichen Erfolg umsetzen ließen. Jim Lewis vom Washingtoner Center for Strategic and International Studies vermutete, China, der Ausrichter der Olympiade 2008, stehe hinter den Attacken. Dem Malware-Forscher Joe Stewart von Dell SecureWorks gelang es, einen chinesischen Ursprung zu bestätigen. Er entdeckte, dass die Angreifer ein zehn Jahre altes Programm namens HTran (HUC Packet Transmit Tool) benutzten, das ein chinesischer Hacker entwickelt hatte, um die Herkunft von Angriffen aus China verschleiern zu können. Ob die chinesische Regierung in die Angriffe verwickelt war, bleibt weiterhin offen.

Reaktionen

Eine Stellungnahme der chinesischen Regierung blieb aus, jedoch dementierten regierungsnahe Medien wie die Zeitung Renmin Ribao eine staatliche Täterschaft Chinas. Eine Woche nach der Aufdeckung der Cyberattacken teilte die chinesische Regierung mit, sie selbst sei im Jahr 2010 Opfer einer halben Million derartiger Angriffe gewesen, von denen fast fünfzehn Prozent über IP-Adressen aus den USA erfolgt seien. Das jeweilige Herkunftsland der Angriffe ließe sich jedoch nicht mit Sicherheit aus der Zuordnung der IP-Adressen ermitteln.

Die kanadische Ministerin für staatliche Bauvorhaben und öffentlichen Dienst, Rona Ambrose, kündigte drei Tage nach der ersten Veröffentlichung über die Operation Shady RAT an, die über 100 staatlichen E-Mailsysteme auf 20 zu reduzieren und 3000 Netzwerke zusammenführen zu wollen. Sie versprach sich davon sowohl eine Minderung der möglichen Angriffsfläche, als auch eine Einsparung von Kosten. Auch Janet Napolitano, die Ministerin für Innere Sicherheit der Vereinigten Staaten, bestätigte, den Bericht von McAfee überprüfen zu lassen. Weiterhin begannen das Büro der Vereinten Nationen in Genf und die Weltdopingagentur, zu überprüfen, ob die beschriebenen Hackerangriffe stattgefunden hätten. Letztere gab aber an, ein ausgefeiltes Sicherheitssystem zu besitzen. Es bestünde kein Grund, anzunehmen, dass Hacker Zugriff auf sensitive Daten gehabt hätten.

In Deutschland ließ das Bundesamt für Sicherheit in der Informationstechnik verlauten, den Bericht Alperovitchs zu prüfen. Dieter Kempf, Präsident des Branchenverbandes Bitkom der deutschen IT-Branche, forderte einen Ausbau des im Juni 2011 neu eingerichteten Nationalen Cyber-Abwehrzentrums und eine engere Zusammenarbeit zwischen der Wirtschaft und staatlichen Stellen. Die DATEV dementierte, zu den Zielen der Angriffe gehört zu haben.

Siehe auch

• Cyberkrieg
• Technologiediebstahl

Weblinks

• Cyber-Attacke „Shady Rat“ – Die Methoden der Mega-Hacker Spiegel Online, 3. August 2011