Tumblelog by Soup.io
Newer posts are loading.
You are at the newest post.
Click here to check if anything new just came in.

August 27 2013

Interne Gamma-Folien: Die Fin-Familie staatlicher Überwachungstechnologien als “komplettes IT Intrusion Portfolio”

finfisher-complete-it-intrusionDie Firmen-Gruppe Gamma verkauft mit der FinFisher-Familie eine Reihe an Überwachungstechnologien, die sie selbst als “komplettes Portfolio” des Hackens beschreibt. Das geht aus geleakten Dokumenten hervor, die aus einem Verkaufsgespräch mit einem Landeskriminalamt stammen sollen. Wir wollen den Vertrag der Firma mit dem BKA sehen und haben Widerspruch auf eine Ablehnung eingereicht.

Die Staatstrojaner-Suite FinFisher und die dahinter stehende Firmen-Gruppe Gamma suchen nicht gerade das Licht der Öffentlichkeit. Zwei neue Dokumente geben jetzt ein paar weitere Einblicke in das Firmengeflecht und die Überwachungstechnik.

Ein anonymes Posting auf Pastebin.com verlinkt auf zwei Dateien, die als “eingescannte Originaldokumente aus Verkaufsgesprächen zwischen Gamma-Vertrieb und Mitarbeitern eines Landeskriminalamts aus dem Jahr 2011″ bezeichnet werden:

Die Echtheit der Dokumente können wir leider nicht bestätigen, Anfragen von netzpolitik.org an die Münchener Firma Gamma International GmbH blieben bisher leider unbeantwortet. Das Corporate Design ist aber ziemlich authentisch, zudem findet sich in den WikiLeaks Spy Files ein weiteres Dokument mit dem selben Titel und weitestgehend deckungsgleichen Inhalten wie das aktuelle Papier über FinFisher.

Die Folien bestätigen, was fleißige Freiwillige auf Buggedplanet.info zusammen getragen haben. Demnach hat die Gamma Group, die sich in mehrere Unterfirmen mit eigenen Spezialgebieten gliedert, 78 Angestellte und neun Büros auf vier Kontinenten. Die Folien werben damit, dass der Staatstrojaner FinFisher seine Ursprünge in der Linux-Linve-CD BackTrack hat, das “von Regierungen weltweit am meisten genutzte Werkzeug für IT-Intrusion”. Seit Jahren hacken Staaten fremde Rechner und immer mehr Gesetze erlauben dies. Für diese Zielgruppe bietet Gamma die Fin*-Produktpallette an:

Tactical IT-Intrusion

FinUSB Suite

finusb-suite-usageDie FinUSB Suite ist ein USB-Stick, den man in ein “Zielsystem” steckt, um dieses zu infizieren und die Kontrolle zu übernehmen. Geht überall, wo man physikalischen Zugriff auf die Hardware hat, als Beispiel wird Reinigungspersonal angegeben. Schon in der Vergangenheit ist das LKA Bayern in Firmen-Büros eingebrochen, um Trojaner-Software auf Rechnern zu installieren.

FinIntrusion Kit

finintrusion-kit-featuresDas FinIntrusion Kit ist ein tragbares “IT Intrusion Kit”. Damit können “rote Teams” vor Ort WLANs knacken, Traffic mitschneiden, Login-Daten abschnorcheln sowie Dienste wie Webserver aufbrechen und Passwörter brute-forcen. “Das Operation Center bietet einfach zu bedienende Point-and-Click Angriffe”. Vom Scriptkiddie zum Scriptcop. (An dieser Stelle ist als Einziges ein von Hand gemaltes Kreuz auf den ausgedruckten und wiedereingescannten Folien.)

FinFireWire

finfirewire-featuresFinFireWire ist ein weiterer Hacking-Koffer, mit Laptop und Firewire-Anschlüssen. Damit können Rechner im laufenden Betrieb infiziert werden, ohne mit einem Reboot Informationen zu verlieren. Auf allen großen Betriebssystemen (Windows, Linux und Mac OS X) sollen Passwort-Abfragen umgangen werden können. Auch der Arbeitsspeicher kann ausgelesen werden, um damit Daten wie Crypto-Schlüssel und -Passwörter zu extrahieren.

Remote Monitoring & Infection

FinSpy

finspy-featuresFinSpy ist ein “ausgefeiltes Intrusion-System”, dass “vollen Zugriff” auf infizierten Systeme gibt. Danach gibt es “vollen Zugriff auf jegliche Kommunikation, inklusive Skype” und andere (SSL-)verschlüsselte Kommunikation. Voller Zugriff auf alle Dateien, Keylogger und “Überwachung durch Webcam und Mikrofon” sind natürlich auch wieder dabei. Die Software läuft ebenfalls auf allen großen Betriebssystemen (Windows, Linux und Mac OS X) und bleibt von den 40 großen Antiviren-Programmen unentdeckt.

FinFly

Die FinFly Tools sind Infektionswege für die Trojaner-Suite FinFisher. Die Infektion kann über verschiedene Wege passieren.

FinFly USB

finfly-usb-featuresFinFly USB ermöglicht die Infektion per USB-Stick. Das geht sowohl bei an- als auch ausgeschalteten Systemen. Pikantes Detail: “Kann ausgeschaltete Zielsysteme infizieren, selbst wenn die Festplatte mit TrueCrypt vollverschlüsselt ist.”

FinFly Web

finfly-web-integrationMit FinFly Web lässt sich “konfigurierbare Software” heimlich auf Zielsysteme einspeisen, indem sie “in Webseiten integriert” wird. Die einfachste Übung hier ist die Erstellung spezieller Webseiten, die ausgewählte User infiziert, die mittels Spear Phishing auf die Seite geleitet werden. Gamma hat demnach Exploits für alle gängigen Browser und verschiedene Module zur Infektion. (Ein Screenshot hat die Beispiele: Firefox Addon und Java Applet)

FinFly LAN

finfly-wlan-workflowFinFly LAN ermöglicht die Infektion in lokalen Netzwerken. Oder über das “Injizieren” falscher Software-Updates. Das Tool scannt alle Rechner, die mit einem Netzwerk verbunden sind, kabelgebunden oder drahtlos. Dann kann man Schadsoftware in den Downloads oder Webseiten-Aufrufen der Zielsysteme “verstecken”. Ebenfalls lassen sich falsche Software-Updates injizieren, wie Firmen-eigenes Video mit einem iTunes-Update als Beispiel zeigt.

FinFly ISP

finfly-isp-workflowFinFly ISP macht ähnliche Sachen wie FinFly LAN, nur eben auf der Ebene eines Anschluss-Providers. Nach der Installation im Backbone-Netz eines koopierierenden Providers können zu infizierende Systeme einfach ausgewählt werden (beispielsweise anhand des RADIUS-Benutzernamens, der MAC-Adresse oder der Telefonnummer). Oder man installiert es gleich in einem ganzen Netzwerk, wie in einem Hotel oder einem Firmennetz. Auch hier lassen sich Infektionen über Downloads, Webseiten und Software-Updates einschleusen.

FinSpy Mobile

finspy-mobile-featuresFinSpy Mobile ist Tool, um mobile Geräte mit dem Staatstrojaner zu infizieren. Das geschieht beispielsweise über Bookmark SMS, WAP Push, Kabel/Bluetooth oder die Synchronisation mit einem infiziertem Rechner. Auch hier werden alle gängigen Betriebssysteme unterstützt: BlackBerry, iOS (iPhone), Android und Windows Mobile/Windows Phone.

Einmal infiziert, hat der Angreifer Zugriff auf sämtliche Kommunikation wie Telefongespräche, SMS, MMS und E-Mails. Sogar verschlüsselte BlackBerry Messenger Nachrichten werden abgeschnorchelt. Dazu kommt eine “live” Ortsüberwachung per GPS, Funkzellen und WLAN-Routern. Schließlich kann auch das Mikrofon von remote eingeschaltet werden.

IT Intrusion Training Programm

fintraining-usageSchließlich bietet Gamma noch Schulungen an, wie Behörden offensiv Hacken können. Als Beispiele werden der “Zugriff auf einen Webserver” und die “Evaluierung der Sicherheit kritischer Infrastrukturen” genannt. Zwei bis vier Beamte lernen “vollständig praktisch” in Europa oder vor Ort “Techniken, die sofort für echte Operationen genutzt werden können”. Auf dem Lehrplan stehen IT Intrusion, Software Exploitation, Web Application Intrusion und Wireless IT Intrusion. Anwendungsbeispiele sind das Zurückverfolgen anonymer Mails, Zugriff auf Mail-Accounts, Sicherheitsanalysen von Servern und das Überwachen von Hotspots, Internetcafés und Hotel-Netzwerken.

Deutschland als Kunde

Der Leaker der Dokumente behauptet, “bei mindestens einem Verkaufsgespräch waren BKA-Mitarbeiter anwesend, die mit FinFisher bereits vertraut waren und beratend teilnahmen.” Leider haben wir keine Möglichkeit, das zu überprüfen. Die Gamma International GmbH hat netzpolitik.org seit heute morgen nicht geantwortet.

Dass das BKA ein Produkt der FinFisher-Familie für knapp 150.000 Euro gekauft hat, haben wir wiederholt berichtet. Nachdem unsere Informationsfreiheits-Anfrage über den Vertrag abgelehnt wurde, haben wir jetzt offiziell Widerspruch eingericht. Die Begründung von BKA und Beschaffungsamt halten wir für fehlerhaft. Die Öffentlichkeit hat ein Recht, zu erfahren, mit welchen Mitteln unsere Behörden arbeiten wollen. Erst recht, wenn sie so invasiv sind.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

August 03 2013

Silicon Rösler will europäische Internet-Infrastruktur

Silicon Valley-Fan und Wirtschaftsminister Rösler will “eigenständige deutsche und europäische Lösungen und Angebote bei der IT-Infrastruktur”. Sein Ziel: mehr Unabhängigkeit und Sicherheit bei der Datenverarbeitung.

Damit unterstreicht er die Vorreiterrolle seines Ministeriums bei der Förderung innovativer deutscher Start-ups wie Gamma International. Deren unabhängige IT-Lösung FinFisher sorgt nicht nur in Deutschland, sondern auch international für Sicherheit.

Röslers Freund Diekmann war ja – immer am Puls der Zeit – schon vor kurzem nach Deutschland zurückgekehrt. Und der muss es ja wissen.

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

June 25 2013

Internes Dokument belegt: Innenministerium gibt fast 150.000 Euro für Staatstrojaner FinFisher/FinSpy aus

finfisher-infectedFür den international bekannten Staatstrojaner FinFisher/FinSpy geben Innenministerium und Bundeskriminalamt 147.166,11 Euro aus. Das bestätigt das Ministerium in einem ehemals geheimen Dokument, das wir an dieser Stelle veröffentlichen. Ein Jahr lang will das BKA die Software nutzen, hält sich aber die Option einer Verlängerung um ein weiteres Jahr offen.

Im Januar haben wir berichtet, dass das Bundeskriminalamt den Staatstrojaner FinFisher/FinSpy angeschafft hat. Im Mai berichtete die Zeit, dass der Vertrag unterzeichnet wurde. Den Vertrag dürfen wir leider immer noch nicht sehen: Das Innenministerium behauptet, ihn nicht zu haben. Und das Bundeskriminalamt hat unsere Anfrage immer noch nicht beantwortet.

Dafür haben wir jetzt ein anderes Dokument erhalten, das wir vor drei Monaten angefragt haben: Die Sachstandsmitteilung des Innenministeriums zu den Vertragsverhandlungen. (Direktlink)

In dem Dokument mit der ehemaligen Geheimhaltungsstufe “Nur für den Dienstgebrauch” beantwortet das Innenministerium fünf Fragen des SPD-Bundestagsabgeordneten Peter Danckert. Viel Neues ist nicht dabei, zumal das Schreiben auf den 11. Februar datiert ist. Aber der Vollständigkeit halber dokumentieren wir das hier nochmal im Original:

Berichtsbitte zu Gamma-Trojaner


Kam es hier bereits zum Vertragsschluss?

Im Herbst 2012 wurde eine Marktsichtung durchgeführt und drei Produkte als grundsätzlich geeignet bewertet. Im Rahmen des nachgelagerten Beschaffungsverfahrens hat das Beschaffungsamt des Bundesministeriums des Innern (BeschA) der Fa. Elaman/Gamma am 25. Oktober 2012 den Zuschlag erteilt. Derzeit verhandeln beide Seiten noch über die Vertragsunterlage Ergänzende Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT), in der der Umfang der zu erbringenden Leistungen (z.B. notwendige Softwareanpassungen. beizustellende Leistungen, Projektmanagement) konkretisiert wird. Es wird von einem kurzfristigen Abschluss der Verhandlungen ausgegangen.

Welchen konkreten Auftrag übernimmt Gamma?

Auftragsgegenstand ist die „zeitlich befristete Überlassung einer Software-Lizenz zur Quellen-TKÜ“ (12 Monate mit der Option zur Verlängerung um weitere 12 Monate) und die Herbeiführung der Betriebsbereitschaft dieser Software sowie die Schulung von BKA-Mitarbeitern.

Welche Einflussmöglichkeiten auf die Firmengruppe wurden seitens BMI vereinbart?

Vertragspartner sind die Fa. Elaman (als Vertreiber der Software der Fa. Gamma International GmbH) und die Bundesrepublik Deutschland, vertreten durch das BeschA. Der Bedarfsträger BKA hat sich über die Beschreibung des Auftragsgegenstands (Funktion der Software) sowie Regelungen zur Abnahme und zum Service vertragliche Steuerungsmöglichkeiten einräumen lassen.

Welche Kosten entstehen durch die Beauftragung von Gamma?

Der Preis für die o.g. Leistung beträgt 147.166,11 Euro (inkl. Umsatzsteuer).

Wie soll die Überleitung an das BKA in 2014 erfolgen?

Eine „Überleitung“ an das BKA ist nicht vorgesehen. Das BKA ist verpflichtet, die Software nach Vertragsablauf nicht mehr zu nutzen und zu löschen.
Unabhängig davon entwickelt das BKA eine Software zur Durchführung von Quellen-TKÜ-Maßnahmen im Kompetenzzentrum Informationstechnische Überwachung (CC ITÜ).

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung. Investiere in digitale Bürgerrechte.

flattr this!

May 17 2013

Staatstrojaner FinFisher: Bundeskriminalamt bezahlt möglicherweise illegale Software, um den Quellcode zu bekommen

Das Bundeskriminalamt hat einen Vertrag über den Staatstrojaner abgeschlossen und Geld gezahlt, weil der Hersteller Gamma sonst den Quellcode nicht herausgegeben hätte. Das antwortete das Innenministerium auf eine Frage der Linkspartei. Ob die Schnüffelsoftware überhaupt legal eingesetzt werden darf, wird noch immer überprüft.

Nach unserem ersten Bericht im Januar würde kürzlich auch offiziell bestätigt, dass das Bundeskriminalamt den international bekannten Staatstrojaner FinFisher/FinSpy für 150.000 Euro gekauft hat.

Der Bundestags-Abgeordnete Andrej Hunko (Linkspartei) hat mal nachgefragt, wann die Zahlungen fällig werden und warum das schon vor Abschluss der Quellcode-Prüfung passiert:

Wann werden hinsichtlich des Vertrages zwischen dem Beschaffungsamt des Bundesministeriums des Innern und der Firma Elaman GmbH vom März 2013 bezüglich des Kaufs von staatlich genutzter Hackersoftware jeweils Zahlungen fällig – bitte auch die Höhe im Einzelnen angeben, aufgeschlüsselt nach einmaliger Kaufsumme sowie Lizenzgebühren –, und aus welchem Grund ist der Vertrag bereits geschlossen bzw. fließen bereits Gelder, obschon die Überprüfung des Quellcodes der Software durch die Firma noch nicht abgeschlossen ist, nach Ansicht des Fragestellers die Funktionsweise der Spionagesoftware also unbekannt ist und die rechtliche Vereinbarkeit ihrer Nutzung deshalb nicht zugesichert werden kann?

Gestern antwortete Dr. Christoph Bergner, Parlamentarischer Staatssekretär beim Bundesminister des Innern:

Das Bundeskriminalamt, BKA, setzt zur Überwachung verschlüsselter elektronischer Kommunikation eine Überwachungssoftware nach Maßgabe gesetzlicher Befugnisse ein.

Die Verwendung der Begriffe Hacker- bzw. Spionagesoftware legen den unrechtmäßigen Gebrauch nahe. Die Bundesregierung distanziert sich erneut von solchen Vorwürfen.

Das BKA hat im Herbst 2012 eine kommerzielle Software am Markt erworben, um verschlüsselte Kommunikation überwachen zu können, bis die vom BKA entwickelte Überwachungssoftware – sogenannte Eigenentwicklung – einsatzbereit ist.

Die Funktionen der erworbenen Überwachungssoftware waren dem BKA bereits vor Erwerb der Softwarelösung bekannt.

Die Prüfung des Quellcodes ist jedoch – wie ich bereits mehrfach vorgetragen habe – bei dem Erwerb einer Software nicht üblich und konnte nur Aufgrund der Bereitschaft dieses Herstellers erfolgen.

Er hat jedoch den Abschluss eines Kaufvertrags zur Bedingung gemacht.

Die mit dem Vertragspartner vereinbarten Zahlungsbedingungen sehen vor, dass lediglich eine Teilzahlung des vereinbarten Entgelts unmittelbar fällig wird, eine weitere Rate im Juni 2013 und die Schlusszahlung bei Auslieferung einer Softwareversion, die den Vorgaben der Standardisierenden Leistungsbeschreibung vollständig entspricht.

Der Erwerb im “Herbst 2012″ ist interessant, sagte uns das das BKA vor zwei Wochen noch:

Der Vertrag wurde durch das Beschaffungsamt des Bundesministerium des Innern und der Firma Elaman im März 2013 geschlossen.

Ob der Staatstrojaner überhaupt legal eingesetzt werden darf, ist weiterhin ungewiss. Noch immer überprüft die Firma CSC Deutschland Solutions GmbH , ob die gelieferte Version der FinFisher/FinSpy-Suite den Anforderungen der standardisierenden Leistungsbeschreibung entspricht. Erst, wenn das der Fall ist, dürfte die Software offiziell zum Einsatz kommen.

Frank Rieger, Sprecher des Chaos Computer Club, kommentierte den Kauf gegenüber netzpolitik.org:

Dieses Vorgehen des BKA ist de facto Wirtschaftsförderung für ein Unternehmen, das im Ruf steht Spitzelsoftware zu liefern, mit denen demokratische Oppositionelle in aller Welt ausgeforscht werden. Sich in derartige moralische Abgründe zu begeben, obwohl es keine Rechtsgrundlage für das Abhören per Trojaner in Deutschland gibt, zeugt einmal mehr vom kompletten Verlust des Realitätssinnes bei BKA und Innenministerium.

Andrej Hunko kommentierte gegenüber netzpolitik.org:

Deutlich wird, wie derartige Beschaffungsvorgänge vernebelt werden. Dass die nun mitgeteilten Details nicht im Auskunftsbegehren von netzpolitik herausgegeben wurden, illustriert die arrogante Haltung des BKA zur Informationsfreiheit.

Wieder werden immense Summen für digitale Spähwerkzeuge versenkt. Der Vertrag mit Elaman kam zustande, obwohl rechtliche Rahmenbedingungen zum Einsatz staatlich genutzter Trojaner längst nicht geklärt sind. Dies ist aus Sicht der Bürgerrechte ein fatales Signal an die Hersteller von Überwachungstechnologie.

Ich kritisiere die Meinung des Bundesinnenministeriums, wonach der Quellcode der polizeilich genutzten Software dem Betriebsgeheimnis der Hersteller unterliegen soll. Hier gehen Kapitalinteressen vor Datenschutz. Das gilt natürlich nicht nur für Trojaner (die ich übrigens sehr wohl als staatlich genutzte Hackersoftware bezeichnen würde). Denn die Entwicklung digitaler Analysewerkzeuge für den Bereich „Innere Sicherheit“ schreitet weiter fort. Dies beinhaltet die Nutzung von Suchmaschinen in polizeilichen Datenbanken ebenso wie Anwendungen zur automatisierten Auswertung der Videoüberwachung.

vgwort pixel

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung, auch um weiterhin einen Full-RSS-Feed anbieten zu können. Investiere in digitale Bürgerrechte.

flattr this!

May 06 2013

Bestätigt: Deutsche Behörden haben Staatstrojaner FinFisher für 150.000 Euro gekauft

Bundeskriminalamt und Innenministerium haben für 150.000 Euro die Spyware FinFisher der Firma Gamma/Elaman gekauft. Das bestätigten die beiden Behörden nun auch gegenüber netzpolitik.org. Ob die Software auch legal eingesetzt werden darf, ist weiterhin ungewiss, die Überprüfung dauert noch an.

Am Donnerstag berichtete die Zeit, dass deutsche Behörden einen international bekannten Staatstrojaner aus dem Hause Gamma/Elaman jetzt offiziell gekauft haben. Jetzt beantworteten die Behörden eine Anfrage von netzpolitik.org, die wir an dieser Stelle veröffentlichen:

netzpolitik.org: Können Sie bestätigen, dass der Vertrag zwischen BMI und Elaman unterzeichnet wurde? Wann wurde der Vertrag unterzeichnet?

BKA: Der Vertrag wurde durch das Beschaffungsamt des Bundesministerium des Innern und der Firma Elaman im März 2013 geschlossen.

netzpolitik.org: Ist der genannte Preis korrekt?

BKA: Der genannte Preis ist korrekt.

netzpolitik.org: Wann werden Zahlungen fällig?

BKA: Über Einzelheiten der Abwicklung des Vertrages, der auf Grundlage der einschlägigen Regelungen des BGB und der Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT) zwischen zwei Vertragspartnern geschlossen wurde, erteilt das BKA generell keine Auskünfte.

Ob in diesem Einzelfall das Informationsfreiheitsgesetz (IFG) zur Anwendung kommen kann, ist noch Gegenstand der Prüfung im BKA.

netzpolitik.org: Ist die Überprüfung der Software durch CSC schon abgeschlossen?

BKA: Die Quellcodeprüfung durch die Fa. CSC dauert noch an. Ein Abschluss ist erst möglich, wenn die Software den Vorgaben der Standardisierenden Leistungsbeschreibung (SLB) vollständig entspricht. Dies ist aktuell noch nicht der Fall.

netzpolitik.org: Wenn nein, warum fließt dann schon Geld?

BKA: Über Einzelheiten der Abwicklung des Vertrages, der auf Grundlage der einschlägigen Regelungen des BGB und der Ergänzenden Vertragsbedingungen für die Beschaffung von IT-Leistungen (EVB-IT) zwischen zwei Vertragspartnern geschlossen wurde, erteilt das BKA generell keine Auskünfte.

Ob in diesem Einzelfall das Informationsfreiheitsgesetz (IFG) zur Anwendung kommen kann, ist noch Gegenstand der Prüfung im BKA.

Die Hinweise auf das IFG könnten daher kommen, dass wir den Vetrag bereits per Anfrage auf FragDenStat.de angefordert haben.

vgwort pixel

Wir wollen netzpolitik.org weiter ausbauen. Dafür brauchen wir finanzielle Unterstützung, auch um weiterhin einen Full-RSS-Feed anbieten zu können. Investiere in digitale Bürgerrechte.

flattr this!

March 27 2013

Android Trojaner bei Aktivisten und Menschenrechtlern gefunden

Gestern berichteten drei Mitarbeiter des russischen Softwareunternehmens Kaspersky Lab darüber, dass am 24. März der Mail-Account eines bekannten tibetischen Aktivisten gehackt und von seinem Account Phishing-Mails an seine Kontakte gesendet wurden. Der Inhalt der Mail bezog sich auf eine Menschenrechts-Konferenz, die verschiedene Gruppen kürzlich in Genf organisiert hatten. Im Anhang der Phishing-Mail befand sich eine APK, also eine Android application package file mit dem Namen “WUC’s Conference.apk”.

Nach der Installation der APK erscheint eine App namens “Conference” auf dem Handy. Wird diese gestartet, erscheint ein Text mit Informationen zu der Konferenz. Während der oder die Angegriffene den Text liest, meldet die Malware einem Command-and-Control-Server, dass das Smartphone infiziert wurde. Danach können Daten von dem infizierten System gesammelt werden, darunter die Kontakte (von Handy und SIM Karte), Anruflisten, SMS, Geopositionen und Daten wie Handynummer, OS Version, SDK Version. Die drei Autoren beschrieben die Funktionsweise in ihrem Artikel noch genauer.

Bisher wurden nur wenige Android Trojaner ‘in freier Wildbahn’ gefunden, das Citizenlab berichtete jedoch vor zwei Wochen über ein Android FinSpy Modell mit einem Command-and-Control-Server in Vietnam.

The FinFisher suite includes mobile phone versions of FinSpy for all major platforms including iOS, Android, Windows Mobile, Symbian and Blackberry. Its features are broadly similar to the PC version of FinSpy identified in Bahrain, but it also contains mobile-specific features such as GPS tracking and functionality for silent ‘spy’ calls to snoop on conversations near the phone.

Im August 2012 hatte das Citizenlab eine gründliche Untersuchung mobiler FinFisher Versionen veröffentlicht.

flattr this!

August 29 2012

FinSpy Mobile: Deutscher Staatstrojaner FinFisher für iPhone, Android und Blackberry enttarnt

Nach der Enttarnung des Staatstrojaners FinSpy aus der Produktpalette von FinFisher sind jetzt auch Versionen für mobile Endgeräte entdeckt und analysiert wurden. Forscher des Citizen Lab haben Trojaner für iOS, Android, BlackBerry, Windows Mobile und Symbian enttarnt, die sie für Varianten von FinSpy Mobile halten. Die Software kann die Telefone komplett überwachen, inklusive Anschalten des Mikrofons und Ortung des Geräts.

Wie bereits bei der enttarnten Windows-Version nutzen auch die neuen Versionen für Smartphones und Tablets Strings wie “FinSpy” oder den Namen des Firmenchefs “Martin Muench”, Domains wie “demo-de.gamma-international.de” und Command & Control Server, die “Hallo Steffi” antworten:



Die Trojaner können die volle Kontrolle über die Smartphones übernehmen, inklusive dem Aufzeichnen aller Kommunikation wie Telefonaten, SMS und Blackberry Messenger, dem Download aller Dateien, dem heimlichen Anschalten des Mikrofons und die Überwachung des Aufenthaltsortes des Mobilgeräts in Echtzeit.

Überwachungs-Geräte in der Tasche

Über den Infektionsweg sagt das Team um Morgan Marquis-Boire wenig. Nur: Falls die Trojaner die mobilen Betriebssysteme nicht direkt angreifen, benötigen alle untersuchten Exemplare eine Interaktion des Nutzers, wie dem Klicken auf einen Mail-Anhang oder eine Webseite.

Neben den neuen Versionen haben die Forscher des Citizen Lab auch weitere Kommando-Server in Äthiopien, Bahrain, Brunei, Indonesien, Mongolei, Niederlande, Singapur, Tschechische Republik, Turkmenistan und den Vereinigten Arabischen Emiraten gefunden. Damit bestätigen sie weitgehend die Analyse von Rapid 7. Nicht alle diese Staaten setzen jedoch automatisch den Trojaner ein, mindestens der Amazon-Cloud Server in den USA war wohl nur ein Proxy.

Vernon Silver berichtet auch über die neueste Analyse auf Bloomberg News. Ihm gegenüber bestätigte Firmenchef Martin J. Muench, dass Gamma mit FinSpy Mobile auch einen Trojaner für mobile Endgeräte verkauft. Wie, und auf welchen Plattformen, dazu will er keine Auskunft geben.

Gegenüber netzpolitik.org bestätigte Muench, dass die bisher analysierten Samples “von den Funktionalitäten her definitiv Ähnlichkeiten” zu FinFisher haben, aber für eine endgültige Bestätigung mehr Zeit für die Analyse notwendig ist. “Sofern es sich tatsächlich um FinSpy handelt, so muss es hier eine Version sein die temporär z.B. für Produktdemonstrationen verwendet wurde”, so Muench. Auch Bloomberg zitiert eine Pressemitteilung von Gamma, dass eine Demo-Version der Software gestohlen worden sei:

“The information that was stolen has been used to identify the software Gamma used for demonstration purposes,” the release said. “No operations or clients were compromised by the theft.” The Gamma statement said that while its demo products contain the word “FinSpy” — a marker the researchers used to help identify samples — its more sophisticated operational products don’t.

Gamma hält sich laut eigenen Aussagen beim Export seiner Überwachungs-Software an die “Exportbestimmungen in Großbritannien, den Vereinigten Staaten und Deutschland”. Dumm nur, dass die in Deutschland gar nicht kontrolliert werden.

flattr this!

August 09 2012

Gamma FinFisher: Neue Analyse des Staatstrojaners deutet auf weitere Kunden hin

Der Spionage-Software FinFisher wird möglicherweise auch in Dubai, Katar, Mongolei und Indonesien eingesetzt. Das geht aus weiteren Analysen des vor zwei Wochen enttarnten Staatstrojaners hervor. Auch in Europa wurden Server entdeckt, die möglicherweise als Kommandozentralen für die Software der deutsch-britischen Firma Gamma International dienen.

Vor zwei Wochen haben Aktivisten vom Citizen Lab die Analyse eines Trojaners veröffentlicht, den sie für das Produkt FinFisher der Firma Gamma International halten. Die Computerwanze sollte weltweit Computer bahrainischer Aktivisten infizieren und ausspähen.

Ursprüngliche Analyse bestätigt

Jetzt hat ein zweites Forscher-Team eine Analyse der Software veröffentlicht. Als Grundlage dienten ihnen vier infizierte Dateien, die auch netzpolitik.org vorliegen. Die Gruppe um Claudio Guarnieri und Jacob Appelbaum bestätigt in weiten Teilen die Ergebnisse des Citizen Lab, wie die Malware den Zielrechner infiziert und sich einnistet. Wird die vermeintliche Bild-Datei auf dem Zielrechner geöffnet, kopiert sich der Trojaner in einen System-Ordner und injiziert nach einem Neustart seinen Schadcode direkt in Systemprozesse. So kann sich die Netzwerk-Kommunikation des Trojaners in einem Prozess des Internet Explorers verstecken, der oft leicht durch Firewalls kommt.

Das Team ist sich ziemlich sicher, dass es sich tatsächlich um FinFisher handelt. Neben dem bekannten String “finspyv4.01″ in einem Ordner-Namen hat man die Strings “finfisher” und “finfisher.lnk” entdeckt. Im Vergleich mit der offiziellen Demo-Version von FinFisher sind viele Gemeinsamkeiten im Ablauf des Programms: die aggressive Präsenz auf dem System, die Prozesskette und der Netzwerk-Verkehr. Anhand der Kommunikationsmuster stellt das Team zwei Regeln für das Angrifferkennungssystem Snort zur Verfügung, um die bekannten FinFisher Infektionen im eigenen Netz zu erkennen.

Server auf fünf Kontinenten

Auch Guarnieri und Co. ist aufgefallen, dass der vom Citizen Lab enttarnte Kommando-Server in Bahrain auf HTTP-Anfragen mit dem String “Hallo Steffi” antwortet. Eine Abfrage diese Musters in der Datenbank des Projekts Critical.IO offenbarte elf weitere Server, die dieses Verhalten zeigten. Diese befinden sich in Äthiopien, Australien, Estland, Indonesien, Katar, Lettland, Mongolei, Tschechien (zwei mal), USA und den Vereinigten Arabischen Emiraten. Die Standorte auf einer Google Karte visualisiert:

Ob diese Server tatsächlich von staatlichen Behörden in diesen Ländern verwendet werden, kann derzeit nicht abschließend bewertet werden. Zunächst haben sie nur alle den ominösen String “Hallo Steffi” geantwortet (Update: Und auf ähnlichen Port-Kombinationen gelauscht). Mittlerweile tun sie das nicht mehr, was auf ein Update nach dem Bekanntwerden hindeuten könnte. Der Chef der Gamma International GmbH in München, Martin J. Münch behauptet gegenüber dem Bloomberg-Journalisten Vernon Silver, dass Dritte die FinSpy-Server nicht durch Netzwerk-Scans erkennen könnten, weil sie “mit Firewalls geschützt sind”.

Auf Nachfrage von Bloomberg haben Institutionen der meisten Staaten geantwortet, dass man von einer FinFisher-Nutzung im eigenen Land nichts wisse. Das indonesische Kommunikations- und IT-Ministerium meinte, dass der Einsatz solcher Software Datenschutzgesetze und Menschenrechte des Inselstaates verletzen würde. Andere Länder haben nicht geantwortet, beim amerikanischen FBI hieß es: “kein Kommentar”.

Gamma streitet ab – unglaubwürdig

Auf Anfrage von netzpolitik.org wollte auch Gamma keine Stellung beziehen, der versprochene Rückruf von Martin J. Münch blieb aus. Stattdessen verweist man auf die Firmen-Policy, keine Auskunft über seine Kunden zu geben. Eine Ausnahme machte man für Bloomberg, als Geschäfte mit Bahrain bestritten wurden. Auch sei der untersuchte Trojaner wahrscheinlich keine der aktuell verkauften Versionen von FinSpy. Viel wahrscheinlicher sei es, dass jemand die Demo-Version der Software entwendet und modifiziert hat, so Münch weiter.

Ein von netzpolitik.org befragter IT-Security-Forscher hält das für eine Ausrede:

Da hat Gamma jemand diese Malware geklaut, und – obwohl sie gegen Debugging und Analyse geschützt ist – den angeblichen Call-Home raus gepatcht, dann in zig Ländern selbstentwickelte Command-and-Control Server aufgebaut, die sich mit ‘Hallo Steffi’ melden? Das ist bestimmt nicht so.

Die genaue Rolle dieser elf Server wird Gegenstand weiterer Untersuchungen sein. Zwar haben die infizierten Rechner der bahrainischen FinSpy-Versionen die Überwachungsdaten an den ursprünglichen “Hallo Steffi”-Server in Bahrain geschickt. Das könnte jedoch auch nur ein Proxy-Server sein, wie ihn auch deutsche Behörden bei ihrem Einsatz des DigiTask-Trojaners eingesetzt haben. Die eigentlichen Empfänger könnten überall sitzen. Fragt sich nur wie wahrscheinlich ein Proxy in Äthopien ist, ein Land mit sehr langsamen und zensiertem Internet.

Jede Art von Malware bekämpfen

Die neue Analyse beunruhigt die Forscher. Obwohl sie die Infektionskette als schwach bezeichnen, ist die Spionage-Software insgesamt ziemlich komplex und gut geschützt bzw. verschleiert. Zwar werden die bekannten Exemplare mittlerweile von Antiviren-Programmen erkannt, aber natürlich reagieren die Hersteller auch darauf mit Anpassungen.

Keine Malware kann langfristig unter Kontrolle gehalten werden, früher oder später wird jede Schadsoftware für bösartige Zwecke genutzt, so die Forscher. Verbreitung, Produktion und Erwerb von Malware müssen verhindert und bekämpft werden. Wenn Gamma behauptet, sich an die Exportrichtlinien von Deutschland, Großbritannien und den USA zu halten, dann sind diese Teil des Problems.

Stattdessen testet auch das Bundeskriminalamt FinFisher als neuen Staatstrojaner für Deutschland.

flattr this!

July 26 2012

Gamma FinFisher: Weltweit gegen Aktivisten eingesetzter Staatstrojaner enttarnt und veröffentlicht

finspyDie kommerzielle Spionage-Software FinFisher der deutsch-britischen Firma Gamma International ist offenbar enttarnt und im Internet veröffentlicht. Aktivisten vom Citizen Lab haben Exemplare des Trojaners analysiert, den sie für FinSpy halten. Vor wenigen Monaten wurden damit die Geräte bahrainischer Demokratie-Aktivisten infiziert und deren Kommunikation dann nach Bahrain übermittelt.

Über die Firma Gamma und ihr Produkt FinFisher hat netzpolitik.org schon wiederholt berichtet. Von der Trojaner-Produktfamilie, die man an Staaten verkauft, gibt es auch ein Werbe-Video. Nicht nur Ägypten und Bahrain kauften die Überwachungs-Software, auch das Bundeskriminalamt testet ihn als neuen Staatstrojaner für Deutschland.

Der Bloomberg-Journalist Vernon Silver hat nun gleich mehrere live eingesetzte Trojaner-Exemplare erhalten, die ein Teil von FinFisher sein sollen. Damit sollten die Geräte von Demokratie-Aktivisten in Washington, London und Manama, der Hauptstadt Bahrains infiziert werden. Mittlerweile sind die Samples auch als Download verfügbar.

Das Citizen Lab hat die Dateien auseinander genommen und eine technische Analyse veröffentlicht (PDF). Die Software verwendet die Strings “Finspy4.01″ und “Finspyv2″ und kommuniziert mit den Domains tiger.gamma-international.de und ff-demo.blogdns.org. Die Funktionen ähneln Gammas Datenblättern über FinFisher. Daher kommt das Analyse-Team zu dem Fazit, wahrscheinlich ein Finspy-Produkt der Gamma-Produktpallette FinFisher gefunden und analysiert zu haben.

Der analysierte Trojaner wurde per E-Mail an ausgewählte Aktivisten verschickt, die sich mit Bahrain beschäftigen. In harmlos aussehenden E-Mail-Anhängen versteckten sich ausführbare Dateien. Das Öffnen der Bilder war zwar möglich, gleichzeitig installierte sich der Trojaner jedoch auf der Festplatte und nistete sich ins System ein. Der Analyse nach tat der Trojaner einiges zur Verschleierung, er umging Viren-Scanner und crashte Debugger.

Einmal infiziert, sammelte die Software eine Reihe von Daten auf den Zielrechner, darunter Screenshots, die getippten Tasten via Keylogger, Passwörter, Aufzeichnungen von Skype-Gesprächen und gesendete Dateien. Diese wurden verschlüsselt gespeichert und an den Server mit der IP-Adresse 77.69.140.194 geschickt, die dem wichtigsten Telekommunikationsunternehmen in Bahrain gehört. Dieser “Command and Control”-Server ist noch aktiv und antwortet auf HTTP-Anfragen mit “Hallo Steffi”.

Gamma selbst wollte sich gegenüber netzpolitik.org und Bloomberg nicht äußern. Das britische Büro von Gamma International verweigerte eine Stellungnahme und verwies uns auf die Mail-Adresse von Firmenchef Martin J. Muench. Dieser hat leider noch nicht geantwortet. Die Webseite vom Münchener Büro von Gamma ist derzeit down, an der Telefonnummer aus dem Whois geht jemand anderes ran, eine funktionierende Nummer war auf Anhieb nicht zu finden. Im Buggedplanet.info Wiki stehen weitere Informationen, aber leider auch keine deutsche Telefonnummer. Die Botschaft von Bahrain konnte ebenfalls nichts dazu sagen und will unsere E-Mail weitergeben.

Neben einer Verifizierung der Echtheit hätte netzpolitik.org Gamma auch gerne gefragt, wie man dort zu diesen Einsätzen der eigenen Software steht. Man redet sich gerne aus der Verantwortung, dass man nur an Regierungen verkauft und diese damit nur Kriminelle verfolgen. Im aktuellen Beispiel wurden gezielt politische Aktivisten überwacht, die teilweise noch nicht einmal in Bahrain leben oder bahrainische Staatsbürger sind. Keiner der Betroffenen weiß von polizeilichen Ermittlungen oder gar Anklagen gegen sich.

Seit Jahren werden wirksame Export-Verbote für solche Überwachungstechnologien gefordert. Die britische Menschenrechtsorganisation Privacy International will deswegen jetzt die britische Regierung verklagen. Die deutsche Bundesregierung unterstützt solche Exporte sogar noch mit Hermes-Bürgschaften.

flattr this!

Older posts are this way If this message doesn't go away, click anywhere on the page to continue loading posts.
Could not load more posts
Maybe Soup is currently being updated? I'll try again automatically in a few seconds...
Just a second, loading more posts...
You've reached the end.

Don't be the product, buy the product!

Schweinderl