Handelsblatt

MenüZurück
Wird geladen.

31.05.2012

15:38 Uhr

Computervirus

BSI sieht in Flame keine Superwaffe im Cyberwar

Ist Flame ein einzigartiges Super-Virus im Cyberkrieg? Die Experten vom deutschen Bundesamt für Sicherheit in der Informationstechnik zeichnen ein deutlich anderes Bild als Kaspersky von dem Virus - und stellen Fragen.

Der Screenshot zeigt einen kleinen Ausschnitt des Quellcodes des Computer-Schädlings Flame. dpa

Der Screenshot zeigt einen kleinen Ausschnitt des Quellcodes des Computer-Schädlings Flame.

Bonn/BerlinDer Computer-Virus Flame ist nach Einschätzung deutscher Experten längst nicht so machtvoll und besonders wie von seinen russischen Entdeckern bezeichnet. „Das ist keine neue Superwaffe im Cyberkrieg, sondern eher ein aus verschiedenen Bauteilen zusammengestückeltes Schad-Programm“, sagte Virenexperte Dirk Häger vom Bundesamt für Sicherheit in der Informationstechnik (BSI) am Donnerstag der Nachrichtenagentur dpa. „Für mich gibt es keinen Grund, einen Superalarm in Deutschland auszulösen.

Der Computerschädling Flame war vom russischen Antivirus-Unternehmen Kaspersky Lab entdeckt worden. Flame spioniere seit über drei Jahren Computeranwender und Netzwerke im Iran, Nahen Osten und Nordafrika aus. „Die Komplexität und Funktionalität der neu entdeckten Schadsoftware übersteigt die aller bislang bekannten Cyber-Bedrohungen“, sagte Firmen-Chef Eugene Kaspersky am Dienstag. Er setzte Flame in eine Reihe mit dem Schädling Stuxnet, der bestimmte Industrieanlagen-Module von Siemens angreift und vermutlich zur Sabotage der Atomprogramme im Iran eingesetzt wurde.

Cyber-Waffe Flame: „So etwas habe ich in meinem Leben noch nicht gesehen“

Cyber-Waffe Flame

„So etwas habe ich in meinem Leben noch nicht gesehen“

Flame ist die neueste hochkomplexe Cyber-Waffe, die auf Hunderten Rechnern entdeckt wurde. Kaspersky-Experte Vitaly Kamluk erklärt, wer dahinter steckt und was die Software zu einem besonders wandelbaren Angreifer macht.

Häger bestätigte, dass Flame ein umfassendes Überwachungstool darstellt. Nach der Analyse von Kaspersky kann das Schadprogramm den Datenverkehr in einem Netzwerk überwachen, das Mikrofon eines Rechners einschalten und damit Gespräche belauschen und Bildschirmfotos (Screenshots) aufnehmen und nach außen schmuggeln. Nach einer ersten BSI-Analyse seien diese Funktionen aber auch in bekannten Schadprogrammen wie „Poison Ivy“ zu finden. „Stuxnet war etwas Besonderes, Flame aber nicht.“

Fakten zum Flame-Virus

Mikrofone aktivieren

Nach Beobachtungen der Experten von Kaspersky kann Flame die Mikrofone befallener Rechner aktivieren. So kann die Schadsoftware einfach nur den Gesprächen im Büro lauschen oder Sprachanrufe über das Internet mitschneiden.

Screenshots anfertigen

Ähnlich wie Sprachaufnahmen kann Flame auch den Bildschirminhalt verfolgen. Dazu speichert das Virus immer wieder Screenshots ab, die von Zeit zu Zeit an den Steuerrechner übertragen werden. Auffällig ist, dass die Häufigkeit der Screenshots bei Chatprogrammen deutlich höher ist.

Kein Erkenntnisinteresse

Flame scheint die Daten nicht zu filtern. So werden laut Kaspersky beispielsweise nicht sämtliche E-Mails zu einem bestimmten Thema kopiert, dies scheint ohne Einschränkung zu geschehen.

Zusätzliche Module

Für Flame sind laut Kaspersky rund 20 Plugins erhältlich. Damit lassen sich die allgemeinen Funktionen von Flame spezialisieren, indem man das entsprechende Modul durch die Hintertüre nachrüstet.

Naher Osten im Fokus

Die bekannten Fälle sind im Iran befallen (189) aufgetreten, auf Rang zwei liegt Israel mit 98 infizierten PCs. Der Sudan (32), Syrien (30), Libanon (18) und Saudi-Arabien (10) folgen.

Wie viele Rechner könnten befallen sein?

Nach Angaben von Kaspersky sind rund 600 mit Flame infizierte Rechner bekannt, es könnten aber auch einige Tausend betroffen sein. Dabei rechnet das Unternehmen allerdings die Vorfälle bei ihren Kunden auf die gesamte Internetwelt hoch - was aber eben nicht mehr als eine Hochrechnung ist.

Verbreitungsweg 1

Eine Möglichkeit, einen Rechner zu infizieren, ist die Verbreitung per USB-Stick. Dabei ähnelt der Programmcode eines Flame-Moduls laut Kaspersky auffallend dem Stuxnet-Virus, das iranische Atomanlagen angegriffen hat.

Verbreitungsweg 2

Die Schadsoftware kann sich auch über lokale Netzwerke verbreiten. Dazu nutzt das Virus vermutlich auch Sicherheitslücken im Betriebssystem aus, die bisher noch nicht bekannt waren. Die Schadsoftware wurde auch auf aktualisierten Windows-7-Systemen gefunden.

Wie lange gibt es Flame schon?

Flame soll seit mindesten März 2010, also seit über zwei Jahren, zum Einsatz kommen.

Was ist neu an Flame?

Im Gegensatz zu seinen Vorgängern Stuxnet und Duqu - die auf demselben Baukasten wie Flame basieren - geht das neue Virus zielgerichteter vor und ist damit schwerer zu erkennen. Insgesamt ist der Programmcode von Flame rund 20-mal größer als Stuxnet, wodurch die Analyse wohl deutlich länger dauern wird. Zudem wird die Sciptsprache Lua verwendet, was für Schadsoftware ungewöhnlich ist.

Der BSI-Experte sagte, es sei auffällig, dass sich die Programmierer von Flame wenig Mühe gemacht hätten, eine Analyse des Computerschädlings zu verhindern. So befänden sich noch sogenannte Debugging-Informationen in dem Code, die Programmierern beim Entfernen von Fehlern helfen. Merkwürdig sei auch, dass mehrfach Module für bestimmte Aufgaben wie Verschlüsselung, Komprimierung oder Dateispeicherung verwendet worden sein. „Da wurden offenbar Versatzstücke aus verschiedenen Baukästen verwendet.“ Nicht bewiesen sei auch die These, dass Flame vor allem im Iran eingesetzt worden sei. Von insgesamt 5000 genannten Infektionen seien lediglich 189 Fälle dem Iran zugeordnet worden, 98 Israel/Palästina, 32 dem Sudan, 18 dem Libanon und 10 für Saudi-Arabien. „Wo sind die anderen 4400 Fälle?“, fragte Häger.

Sicherheitstipps für PC und Mac

Datensparsamkeit

Nutzer von Internetdiensten sollten sparsam mit Daten umgehen und nur so viel Informationen preisgeben wie nötig. Man kann sich durchaus auch mit einem Anbieter in Verbindung setzen und fragen, warum er unbedingt eine bestimmte Information braucht.

Überlegen Sie sich grundsätzlich, ob es notwendig ist, sich bei einem bestimmten Dienst mit Daten anzumelden. Verlangen Sie von Diensten, die Sie nicht mehr nutzen die Löschung Ihrer personenbezogenen Daten. Sofern das Unternehmen die Daten – beispielsweise für Abrechnungen – nicht mehr benötigt, ist es dazu verpflichtet, die Daten auf Wunsch zu löschen. Sie können sich dabei auf das Bundesdatenschutzgesetz berufen.

Software-Updates einspielen

Wenn Sicherheitslücken ausgenutzt werden, befinden sich diese heutzutage nur noch selten im Betriebssystem selbst, sondern viel häufiger in installierter Standard-Software wie dem Webbrowser, Adobe Acrobat Reader oder Adobe Flash. Die drei genannten und besonders gefährdeten Anwendungen können selbst aktiv Inhalte ausführen und sind daher für Attacken beliebt. Achten Sie daher darauf, dass nicht nur das Betriebssystem regelmäßig aktualisiert wird, sondern auch Ihr Webbrowser sowie die installierte Standard-Software wie PDF-Betrachter und Flash-Plugin.

Sämtliche installierte Software auf Aktualität und Sicherheitslücken zu prüfen, ist ohne Hilfe natürlich eine Herkulesaufgabe. Zum Glück gibt es die kostenlose Software Secunia Personal Software Inspector (PSI). PSI sucht automatisch nach veralteter Software. Mit dem Menüpunkt „Secure Browsing“ lässt sich außerdem nach veralteten Browser-Erweiterungen suchen. Übrigens sind diese Erweiterungen auch der häufigste Grund für Abstürze von Browsern – weniger ist daher meist mehr.

Anti-Viren-Lösung

Viren und Würmer gefährden die Daten-Sicherheit. Daher sind Präventionsmaßnahmen angeraten. „Viel hilft viel“ ist hier allerdings nicht angesagt, da sich verschiedene Anti-Viren-Scanner gegenseitig stören. Optimal ist daher die Kombination aus drei Schutzarten. Installieren sollte man eine Personal Firewall, die ein- und ausgehende Verbindungen kontrolliert und einen Virenscanner, der mit seinen Virensignaturen bekannte Schädlinge stoppt; außerdem sollte die Schutz-Software heuristische Methoden einsetzen, die auch unbekannte Schädlinge aufgrund des Verhaltens erkennt. Anti-Virus-Lösungen gibt es nicht nur für Windows-Rechner, sondern auch für Macs.

Verhalten

Mac und Windows

Noch wichtiger als ein stets aktueller Virenschutz ist allerdings das Verhalten des Nutzers: Führen Sie keine Dateien aus dubiosen Quellen aus und öffnen Sie keine Anhänge von E-Mails, die Ihnen seltsam vorkommen.

Festplatte verschlüsseln

Mac und Windows

Wenn wichtige geschäftliche oder private Daten in falsche Hände geraten, können große Schäden entstehen. Die Gefahr ist insbesondere bei mobilen Rechnern groß. Von daher ist es ratsam, sensible Daten zu verschlüsseln. Als besonders sicher gilt die kostenlose Software TrueCrypt, die für Windows, Linux und Mac OS X verfügbar ist. Damit können sowohl einzelne Ordner als auch die gesamte Festplatte verschlüsselt werden. Selbst das FBI hat sich an TrueCrypt schön die Zähne ausgebissen: Nach fast einem Jahr musste die US-Behörde die Festplatte eines brasilianischen Bankiers zurückgeben – nach wie vor verschlüsselt. 

Haupteinfallstor E-Mail-Account

Jedem ist bewusst, dass die Nutzerkonten bei Amazon, Ebay oder Paypal durch ein langes und sicheres Passwort geschützt sein sollten. Der beste Schutz dort nützt aber nichts, wenn nicht auch das E-Mail-Konto gut abgesichert ist. Hat sich ein Angreifer Zugang zum Posteingang verschafft, kann er auch ohne großen Aufwand auf alle weiteren Nutzerkonten zugreifen, indem er sich einfach neue Passwörter zuschicken lässt – egal ob bei Ebay oder anderen Services im Web.

Passwörter

Grundsätzlich ratsam ist es, nicht nur sichere Passwörter zu verwenden, sondern auch immer unterschiedliche bei verschiedene Diensten. Mit den einmal geklauten Login-Informationen lassen sich ansonsten Benutzerkonten auf Einkaufs-Websites, bei Reiseanbietern oder anderen Dienstleistern öffnen und widerrechtlich nutzen.

Wie so häufig beim Thema Sicherheit steht dabei jedoch die Bequemlichkeit im Weg: Wie nur soll man sich mehrere Passwörter merken, die auch noch sicher sind – das heißt keine Wörter, die man im Duden findet und möglichst noch mit Sonderzeichen?

Dafür gibt es einen Trick: Statt eines kryptischen Wortes merken Sie sich einfach einen sinnvollen Satz, der für Sie eine Bedeutung hat. Das Passwort besteht dann auf den jeweiligen Anfangsbuchstaben des Satzes – bei Beachtung der Groß- und Kleinschreibung. Ein Beispiel wäre der Satz: Meinen Rechner mache ich mit einem komplizierten Passwort sicher. Als Passwort wird daraus: MRmimekPs – ein Wort, das Sie garantiert in keinem Lexikon finden.

Auf sichere Datenübertragung achten

Wann immer sensible Informationen im Web übertragen werden, sollte unbedingt darauf geachtet werden, dass es sich um eine verschlüsselte SSL-Verbindung handelt. Das erkennen Sie daran, dass die Webadresse im Adressfeld mit https:// beginn statt http://. Aktuelle Versionen der gängigen Browser Firefox, Internet Explorer, Chrome, Opera und Safari überprüfen dabei automatisch, ob der Anbieter der verschlüsselten Verbindung auch der ist, für den er sich ausgibt. Wichtig ist dabei, die jeweils neueste Version des Browsers zu verwenden. Diese haben einen Phishing-Schutz eingebaut, der die meisten Websites erkennt, die nicht das sind, was sie vorgeben.

Unterdessen dementierte auch die israelische Regierung, in die Programmierung oder Verbreitung des Computerschädlings Flame verwickelt zu sein. Ein Regierungssprecher sagte dem britischen Rundfunk BBC, Vize-Premierminister Mosche Jaalon sei mit seinen Äußerungen zu Flame „falsch interpretiert“ worden. Jaalon habe nie gesagt, sein Land stehe hinter der Cyber-Attacke. Der Vize-Premierminister hatte in einem Interview des israelischen Armeerundfunks erklärt, Israel sei damit „gesegnet, eine Nation zu sein, die überlegene Technologie besitzt“. „Diese Errungenschaft eröffnet uns alle möglichen Optionen.“

Von

dpa

Kommentare (4)

Selber kommentieren? Hier zur klassischen Webseite wechseln.  Selber kommentieren? Hier zur klassischen Webseite wechseln.

Hagbard_Celine

01.06.2012, 12:36 Uhr

Ja, ja, deny deny deny...

"Deutsche Regierungsexperten und das russische Antivirus-Unternehmen Kaspersky legen höchst unterschiedliche Bewertungen des neuen Computervirus Flame vor. Die Russen sprechen von der „Spitze eines Eisbergs“

Nun, dann wissen wir ja schon heute was demnächst zu lesen sein wird, nämlich das das Spionageprogramm von unseren Freunden auch in Europa eingesetzt wurde und wird.

Was einzelne Mitarbeiter vom BSI zu ihren fragwürdigen Aussagen verleitet und in wieweit diese mit Landesinteressen übereinstimmen mag der geneigte Leser sich selbst zusammenreimen.

Hagbard_Celine

01.06.2012, 13:33 Uhr

Auszug aus einem Interview mit Hr. Gostew von dem russischem Antivirus Spezialisten Kaspersky Labs der der Virus gefunden hat:

Gostew: Flame ist viel komplexer, der Umfang der Codes ist 20-mal größer als bei Stuxnet. Flame ist seit 2010 aktiv, seine Urheber entwickelten immer neue Module, verwalteten die Server, sammelten manuell Informationen von Hunderten Rechnern. Das ist keine einfache Aufgabe. Wir schätzen, dass alleine 10 bis 20 Programmierer beteiligt waren, dazu kommt das Bedienungspersonal für die Server. Ich denke nicht, dass eine der bekannten Cyber-Verbrecher-Gruppen dazu überhaupt fähig ist. Wir stufen Flame, genau so wie Stuxnet und Duqu, als Cyberwaffen ein...

Wo stehen die Server, auf die die gestohlenen Daten geschickt wurden?

Gostew: Wir haben mindestens 80 Server im Verdacht, die von Flame benutzt wurden. Sie befinden sich in unterschiedlichen Ländern: DEUTSCHLAND, Türkei, Italien, Vietnam. Bis gestern waren davon vier Server besonders aktiv – nachdem wir mit den Informationen an die Öffentlichkeit gegangen sind, wurden diese vier Server geräumt.

Von wo aus wurden die Computer-Server betrieben?

Die Betreiber mussten nicht im gleichen Land gewesen sein, in dem sich die Server physisch befinden. In den letzten anderthalb Monaten haben die Betreiber ihren Serverstandort mehrmals gewechselt. Als wir den Virus entdeckt hatten, standen die wichtigsten Server in der Türkei, einige Tage später waren sie bereits in DEUTSCHLAND.

Hagbard_Celine

01.06.2012, 13:41 Uhr

Aus der Tatsache das die Server in der Türkei hastig geräumt wurden aber die in Deutschland nicht, lässt sich ableiten das der Geheimdient der sie betreibt in Deutschland ein besonders bequemes Leben führt.

Das liegt wohl weniger an der Inkompetenz deutscher Behörden sondern eher daran das mit deren Wissen auf deutschen Boden von dieser Oragnisation spioniert wird.

Wer kann glauben das dies mit den Landesinteressen in Einklang ist ?

Direkt vom Startbildschirm zu Handelsblatt.com

Auf tippen, dann auf „Zum Home-Bildschirm“ hinzufügen.

Auf tippen, dann „Zum Startbildschirm“ hinzufügen.

×