Hintertüren bei Software: Die verschwiegenen Gefahren
Screenshot twitter.com
Wissen ist Macht und Unwissen macht Ohnmächtig: Seit dem staatliche Behörde immer lauter nach Sicherheitslücken rufen und zunehmend auch immer mehr Computersysteme infizieren. Tauchen im selben Maßen Sicherheitslücken von Geräten auf, die vorher in diesem Dimensionen unbekannt waren. Über Kosten, Risiken und Schäden dieser staatlichen Sabotage-Aktivitäten, hüllen sich die Behörden vornehmlich in Schweigen. Die Bürger werden alleine gelassen: Sollten Hacker einen Schaden verursachen, dann tragen die Schuld hierfür, ausschließlich die kriminelle Organisationen oder die unvorsichtigen Anwender selbst. Über die Hintergründe: Die kommen überhaupt nicht zur Sprache.
„Hackern ist es ein Dorn im Auge – Wenn Unternehmen Authentifizierungslösungen mit starker Verschlüsselung einsetzen“
„Hackern ist es ein Dorn im Auge, wenn Unternehmen Authentifizierungslösungen mit starker Verschlüsselung einsetzen. Das macht es komplizierter, Accounts von Mitarbeitern zu übernehmen und Geschäftsdaten zu entwenden. Doch nicht nur Kriminelle wünschen sich in solchen Fällen eine Hintertüre in Authentifizierungs- und Verschlüsselungslösungen. Auch die Polizei, Geheimdienste und Finanzbehörden fordern in zunehmendem Maße, dass die Anbieter von Sicherheitssoftware Backdoors in ihre Lösungen einbauen – und den Schlüssel oder eine Zugangsmöglichkeit bei Behörden deponieren.“
„Polizei, Geheimdienste und Finanzbehörden fordern in zunehmendem Maße, dass die Anbieter von Sicherheitssoftware Backdoors in ihre Lösungen einbauen“
„In einigen Medien wurde die Schadsoftware u.a. als „fast unlöschbarer Super-Virus“ beschrieben, der Milliarden von Computern gefährden könne. Diese Einschätzung teilt das Bundesamt für Sicherheit in der Informationstechnik (BSI) nicht. Richtig ist, dass LoJax sich tief im Computer einnistet und zur Ausführung kommt, noch bevor das eigentliche Betriebssystem oder eine Antivirensoftware ausgeführt wird. Damit ist die Erkennung und Beseitigung der Schadsoftware signifikant schwieriger, als bei Schadprogrammen, die das Betriebssystem betreffen. Um LoJax überhaupt installieren zu können, muss ein Täter jedoch bereits die Kontrolle über den Computer übernommen haben, etwa durch Ausnutzung bekannter Schwachstellen im Betriebssystem. Damit bieten die vom BSI empfohlenen Schutzmaßnahmen zur Computer- und Netzwerksicherheit (IT-Grundschutz oder www.bsi-fuer-buerger.de) auch ausreichenden Schutz gegen das hier beschriebene LoJax-Rootkit.“
„Ausnutzung bekannter Schwachstellen im Betriebssystem“
Was das Bundesamt für Sicherheit in der Informationstechnik unerwähnt lässt: Der Bundestag wurde auf diese Weise bereits erfolgreich angegriffen. Zugang fanden die Hacker – ganz klassisch – über eine kontaminierte E-Mail, die ein unvorsichtiger Beamter öffnete und so das ganze System kontaminierte. Natürlich hätte man die verdächtige E-Mail auch in einer virtuellen Umgebung ausführen können, womit der „Schaden“ kaum messbar wäre. Doch in diese gedanklichen IT-Sphären, sind deutsche Behörden noch nicht vorgedrungen. Der „fast unlöschbarer Super-Virus“ ist, anders als das BSI behauptet: Wirklich ein fast unlöschbarer Super-Virus. Sofern niemand dafür eine maßgeschneiderte Software anfertigt, ist ein Virus im BIOS – für die Allermeisten – kaum zu beseitigen. Dementsprechend ist die dazugehörige Hardware eigentlich Schrott.
„Die Entdeckung des ersten UEFI-Rootkits in freier Wildbahn ist aus zwei Gründen erwähnenswert. Erstens zeigt es, dass UEFI-Rootkits nicht mehr bloß ein interessantes Thema für Konferenzen ist, sondern tatsächlich eine echte Bedrohung darstellt. Zum Zweiten dient es als Alarmierung all derjenigen, die im Fadenkreuz von Sednit stehen. Die APT-Gruppe, welche auch die Pseudonyme APT28, STRONTIUM, Sofacy oder Fancy Bear trägt, ist vielleicht noch viel gefährlicher als bereits angenommen.“
Sicherheitslücken können die ganze IT-Infrastruktur gefährden
Nicht wenige vermuten hinter dieser Hackergruppe, entweder geheimdienstliche Strukturen oder den Geheimdienst selbst. Zumindest lässt die Sicherheitslücke darauf schließen, dass sie wohl kaum rein zufällig einstanden sein mag und die Rufe nach genau solchen Hintertüren sind unüberhörbar.
„Mitnahme geheimer Hacker-Tools … Pho, ein eingebürgerter US-Bürger aus Vietnam und Einwohner von Ellicott City, Maryland, hatte sich schuldig bekannt, Materialien mit nach Hause genommen zu haben, nachdem er von der NSA nach den Leaks der Hackergruppe Shadow Brokers ertappt worden war. Vor Gericht gab Pho, der im April 2006 als Softwareentwickler bei TAO anfing, an, er hätte versucht, eine Beförderung zu erreichen, indem er auch zu Hause noch tätig war. 2010 habe er begonnen, sowohl gedruckte Dokumente als auch Dateien mitzunehmen, die als Unterlagen der Geheimhaltungsstufe Top Secret und sogar Top Secret/SCI (Sensitive Compartmented Information) klassifiziert waren, und er fuhr bis März 2015 damit fort. Wegen seiner Schwierigkeiten mit der englischen Sprache und den sich daraus ergebenden begrenzten sozialen Kontakten hatte er Schwierigkeite, von seinen NSA-Vorgesetzten gute Leistungsbewertungen zu bekommen. Folglich nahm er die Materialien mit nach Hause in der Hoffnung, seine Leistung bei der Arbeit zu steigern, bessere Bewertungen zu erhalten und damit potentiell ein höheres Gehalt zu erlangen, sodass er gehofft habe, mit einer höheren Gehaltsstufe in Rente zu gehen.“
Wenn Geheimdienstleute eigentlich geheime Unterlagen mit nach Hause nehmen
Selbstverständlich finden Hintertüren oder Hacker-Tools früher oder später – auf verschlungenen Pfaden – ihren Weg zu einer „breiteren“ Öffentlichkeit. Für die so entstanden Schäden und Risiken, stehen dann die Betroffenen selbst – und keine Behörden – gerade.
Screenshot twitter.com
