5 Jahre lang soll es aktiv gewesen sein, das größte Spionagenetzwerk das es bisher gab. “Roter Oktober” wie die Sicherheitsexperten von Kaspersky es genannt haben, soll globale Ausmaße gehabt haben. Jahrelang soll es Daten von Regierungen erbeutet haben und unter anderem auch an Server in Deutschland gesendet haben. Kaspersky ist sich sicher, die Programmierer sprechen Russisch.

Es klingt ein wenig wie in einem Agentenfilm. 3 Monate waren die Mitarbeiter von Kaspersky Labs dem Netzwerk auf der Spur. Als sie nun die Daten ihrer Jagd veröffentlichten, zogen sich die Angreifer blitzschnell zurück. So wurde am Abend der Veröffentlichung die Infrastruktur abgebaut, Server wurden abgeschaltet und Domains wurden gelöscht. Aus diesem Grund wurde das auch bisher geheim gehalten. Das Netzwerk soll verantwortlich für Angriffe und Datenraub in Botschaften, Regierungs- und wissenschaftlichen Einrichtungen sowie in Militärorganisationen sein. Desktop PCs und Handys wie zum Beispiel iPhones, Nokia und auch Windows-Mobile-Geräte sollen vornehmlich Ziele der Angreifer gewesen sein.

5 Jahre soll das Netzwerk aktiv gehandelt haben. Im Oktober 2012 wurde man erst darauf aufmerksam und brauchte auch geschlagene 3 Monate um das System zu identifizieren. Und dabei ist die Firma Kaspersky Labs, die sich dem Angreifer widmeten, bestimmt kein Anfänger. Das Unternehmen ist spezialisiert auf Schadsoftware, Viren, aller Art von Kriminalität und Grauzonen im digitalen Bereich. Eine detaillierte Analyse bekommt ihr hier:

Diese kam zu dem Schluss, dass die Angreifer das System in Code gossen. Deshalb auch “Roter Oktober”. Eine Beauftragung von staatlicher Seite wird ausgeschlossen. Vielmehr wird vermutet, dass die Informationen im Untergrund an Interessierte verkauft wurden.

Auch eine deutsche Botschaft und eine diplomatische Vertretung der USA waren betroffen. Der Fokus klag auf Osteuropäischen Staaten. Allerdings standen auch Deutschland, die USA, Frankreich und Italien auf der Liste der interessanten Nationen. Mittlerweile gäbe es wohl noch ein paar aktive Server, aber der Großteil der Infrastruktur sei abgeschaltet.

Wie war das alles möglich?

Man bediente sich wohl einer gängigen Methode. Man verschickte auf die Zielperson zugeschnittene E-Mails mit im Anhang befindlicher Schafsoftware. Dazu wurden vornehmlich Word-, Excel- und PDF-Dateien verwendet. Öffnete die Zeilperson den Anhang, war der Deal schon perfekt und es wurde schädlicher Code implementiert. Die Hintertür stand nun also offen und es konnte jederzeit eine gewünschte Komponente hinzugefügt werden. Dabei handelte die Schadsoftware auch durchaus eigenmächtig und baute Verbindungen auf. Selbst von USB Datenträger gelöschte Dateien wurden wiederhergestellt und versendet.

Gestohlen wurden unter anderem wohl auch Verschlüsselungskomponenten des “Acid Cryptofilter”, die seit 2011 auch das EU-Parlament und die EU-Kommission verwenden. Der Trojaner verschlüsselte die Informationen und Versand sie an einen der beteiligten Server. Über 60 soll es davon gegeben haben. Den Angaben zufolge standen die meisten zurückverfolgten Maschinen bei einem deutschen Web-Provider. In den nächsten Tagen werden man einen detaillierteren Bericht vorlegen, so Kaspersky.