Rätselhaftes "TajMahal" Neuartige Spionagesoftware mit 80 Modulen entdeckt
Nach dem Mausoleum Taj Mahal ist mittlerweile sogar eine Spyware benannt
Foto: LUDOVIC MARIN/ AFPWie spannend kann eine Spionagesoftware schon sein, wenn sie bisher nur einmal gefunden wurde und wenn völlig unklar ist, wie sie auf einen Computer gelangt, wer sie entwickelt hat und wofür? Ziemlich spannend, finden die Sicherheitsforscher von Kaspersky Lab.
Sie haben am Mittwoch auf der hauseigenen Konferenz SAS in Singapur ein bisher unbekanntes Spyware-Paket vorgestellt, das sie "TajMahal" nennen . Es besteht aus 80 Modulen mit teils neuartigen Spionagefunktionen - und existiert seit mindestens fünf Jahren, ohne dass es jemand bemerkt hätte.
Kaspersky Lab fand "TajMahal" nach eigenen Angaben Ende 2018 in einer "zentralasiatischen diplomatischen Einrichtung". Genauer will das russische Unternehmen nicht werden. Den Namen verpassten sie der Spionagesoftware, weil die unbekannten Entwickler eine Datei zur Ausleitung von Daten so genannt haben.
Der komplexe Code basiert auf nichts, was die Sicherheitsexperten schonmal irgendwo gesehen hatten - obwohl mindestens Teile davon seit 2014 aktiv waren, wie die Analyse ergab. Auch die Server, die für die Kommunikation mit der Spyware genutzt wurden, lassen keine Rückschlüsse auf die Hintermänner zu. Es ist nicht einmal klar, wie die diplomatische Einrichtung überhaupt infiziert wurde.
Weitere Opfer sind wahrscheinlich
Nur was "TajMahal" kann, ist sicher: Hintertüren öffnen, weitere Module nachladen, sich Notfallinstruktionen von einem Kommandoserver holen und sich dann zum Beispiel selbst löschen. Es gibt Module, um Mikrofone heimlich zu aktivieren, Tastatureingaben und Webcam-Übertragungen mitzuschneiden sowie Dokumente und kryptografische Schlüssel abzugreifen. So weit, so normal für Malware dieser Größenordnung.
Bemerkenswert ist jedoch die Fähigkeit, Dateien von besonderem Interesse für einen Angreifer zu identifizieren. Steckt jemand einen USB-Stick in einen infizierten Computer, erstellt "TajMahal" eine Liste der Dateien auf dem Stick und schickt sie an den Kommandoserver.
Wer auch immer die Spyware einsetzt, kann sich also aussuchen, was er davon haben will. Wird der Stick zu früh wieder abgezogen, kann "TajMahal" ihn wiedererkennen, wenn er das nächste Mal in den USB-Port gesteckt wird, und dann die gewünschte Datei abgreifen. Andere Module sind in der Lage, Dateien als potenziell interessant zu markieren, wenn diese ausgedruckt oder auf eine CD gebrannt werden. Außerdem geht ein Modul gezielt auf die Suche nach Sicherungskopien von iPhones und iPads.
Der Entwicklungsaufwand, der hinter "TajMahal" steckt, muss so beträchtlich sein, dass man daraus schlussfolgern kann:
- "TajMahal" ist eine sogenannte fortgeschrittene, andauernde Bedrohung (Advanced Persistent Threat, kurz APT). So werden dauerhafte offensive Hacker-Kampagnen, aber auch lange Zeit aktive Hackergruppen sowie umfassende Spionageprogramme (Frameworks) bezeichnet.
- Der Funktionsumfang und weitere Details sprechen für staatliche Interessen, also auch staatliche Unterstützer.
- "TajMahal" wird in Zukunft vermutlich noch öfter entdeckt werden, jetzt, wo die Spionagesoftware in ihren Grundzügen bekannt ist.
Kaspersky-Lab-Forscher Alexey Shulmin schrieb der "Wired" : "Es erscheint höchst unwahrscheinlich, dass so eine große Investition für nur ein Opfer getätigt wird. Also gibt es entweder weitere, bisher nicht identifizierte Opfer, oder weitere Versionen der Malware sind bereits im Umlauf, oder beides."
