Konkret haben die Sicherheitsforscher von Kaspersky Lab ein Spionagewerkzeug analysiert , das sie EquationDrug nennen. Der Name spielt auf den Software-Urheber an, die sogenannte Equation Group, bei der es sich mutmaßlich um eine Abteilung eines westlichen Geheimdienstes wie der NSA handelt. Dafür spricht zumindest die Komplexität der Schadprogramme, die die Gruppe einsetzt.

Kaspersky-Chefanalyst Costin Raiu sagte im Februar im SPIEGEL-ONLINE-Interview, die Gruppe sei "wirklich gut darin, ihre Spuren zu verwischen". Außerdem sei die operative Sicherheit "hervorragend". Die Gruppe soll seit mindestens 2001 aktiv sein, eventuell sogar seit 1996.

Das Werkzeug EquationDrug soll sie seit 2003 einsetzen. Das Programm war eins der ersten und zeitweise das wichtigste Programm der Gruppe, mittlerweile setzt sie auf fortschrittlichere Systeme wie GrayFish.

Ähnlich wie bei anderen Spionage-Werkzeugen existieren für EquationDrug zahlreiche Plug-in-Module. Die Software lässt sich also anpassen oder um Funktionen erweitern, abhängig davon, welchen Rechner man angreifen will und wie viel über das Ziel bekannt ist. Gefunden wurden unter anderem Zusätze, die überwachen, was auf der Tastatur getippt wird, und was in Browsern wie Firefox geschieht.

Das Kaspersky-Team geht davon aus, dass es für EquationDrug 116 verschiedene Plug-ins gibt. Das Unternehmen betont, dass es sich nicht nur um einen Trojaner, sondern um eine ganze Plattform handelt. Ihr Aufbau wurde im Bericht grafisch aufbereitet .

Vermutlich ein Geheimdienst-Werkzeug

Kaspersky-Chefanalyst Costin Raiu legt wie schon im Februar die Deutung nahe, dass ein westlicher Geheimdienst hinter der Software steckt. "Nationalstaatliche Angreifer versuchen ihre Spionagewerkzeuge noch stabiler, unsichtbarer, zuverlässiger und universeller zu gestalten", schreibt er.

Anders als traditionelle Cyberkriminelle würden sich staatliche Angreifer darauf konzentrieren, ein ausgereiftes Programmiergerüst zu erstellen, dessen Code so verpackt ist, dass er sich auf Live-Systemen  anpassen lässt. "Zudem wird eine Möglichkeit geschaffen, alle Komponenten und Daten verschlüsselt und für normale Nutzer unzugänglich zu speichern", so Raiu.

Dem Kaspersky-Team zufolge gibt es weitere Unterschiede zwischen den Attacken mit EquationDrug und den Methoden gewöhnlicher Cyberkrimineller. Mit EquationDrug wurden beispielsweise gezielte und keine breit gefächerten Attacken durchgeführt. Das Ziel sei es, die Systeme weniger ausgewählter Nutzer zu infizieren, mit individualisierten Angriffen.

Beim Erstellen ihrer Software würden es staatliche Akteure zudem bewusst vermeiden, öffentlich zugänglichen Quellcode wiederzuverwenden. "Wir gehen davon aus, dass sich in Zukunft ein modularer Aufbau sowie eine individuelle Anpassung als Markenzeichen nationalstaatlicher Angriffe etablieren werden", schreibt Raiu.