Trojaner Regin zielt auf Industrie

Symantec – Sicherheitsexperten gelang es einen hochentwickelten Trojaner zu entdecken, der unter anderem der Malware Stuxnet ähnlich sein soll. Der komplizierte Aufbau lässt die Experten vermuten, dass für Regin ein reiches Industrieland Verantwortung trägt.
Der Trojaner enthalte Dutzende von einzelnen Modulen, die es den Angreifern ermöglichten, die Malware gezielt auf einzelne Ziele zuzuschneiden. Regin bestehe aus fünf verschiedenen Stufen, von denen bis auf die erste alle verschlüsselt seien. Wird die erste Stufe ausgeführt, wird eine Art Dominoeffekt ausgelöst, der die anderen Stufen nacheinander entschlüsselt und in Gang setzt. Erst nachdem Sicherheitsexperten alle fünf Stufen entschlüsselt und analysiert hatten, konnte die Arbeitsweise der Malware verstanden werden. Aufgrund der gewählten Architektur habe die Malware viele Jahre unbeobachtet von Virenscannern agieren können. Selbst wenn das Vorhandensein von Regin bemerkt werde, sei es äußerst schwierig zu erkennen, was genau die Schadsoftware mache. Symantec war dazu erst in der Lage, nachdem einige Beispieldateien entschlüsselt worden waren. Dabei habe der Trojaner verschiedene Tarnfunktionen bemüht. Der Trojaner kann nach Angaben von Symantec Screenshots machen, die Kontrolle über die Computermaus eines infizierten Systems übernehmen, Passwörter stehlen, den Traffic überwachen und gelöschte Dateien wiederherstellen. Speziell zugeschnittene Versionen von Regin können unter anderem den Traffic eines Microsoft IIS Servers oder den Base Station Controller eines Mobilfunknetzes auslesen, der die Funkverbindungen in GSM-Netzen überwacht. Die Sicherheitsexperten vermuten, dass Regin bereits seit mindestens 2008 in mehreren Kampagnen eingesetzt wurde. Die Hälfte aller infizierten Computer soll zu Internetanbietern gehört haben. Laut Symantec haben die Angreifer von dort bestimmte Kunden ausgespäht. 28 Prozent der Trojaner zielten auf Telekomanbieter, über die sich die Hacker vermutlich Zugang zu einzelnen Gesprächen verschafft haben. Bisher sind 100 Infektionen eindeutig identifiziert.
Nachdem der Trojaner zwei Jahre inaktiv war ist er in modifizierter Form 2013 wieder aufgetaucht. Wer die Autoren sind und wie sie mit den infizierten Computern kommunizieren ist jedoch unklar.

Zurück

Diesen Beitrag teilen
Weitere Meldungen zum Thema
oben