Weltweite Cyber-Spionage-Operation aufgedeckt

Die Angriffsserie die die Sicherheitsforscher von McAfee “Operation Shady RAT” getauft haben, habe vor fünf Jahren begonnen, betreffe mehr als 70 Staaten, Unternehmen unter anderem aus dem Rüstungsbereich sowie Organisationen in 14 Ländern – und sei noch immer aktiv. Als relativ sicher gilt, dass diese Angriffe von einer Nation ausgehen. Obwohl zum Teil Server genutzt wurden, die in einem westlichen Land stehen, deute vieles auf ein asiatisches Land als Ursprung der Attacke hin. Mc Afee nennt zwar offiziell keine Namen, dennoch scheint es viele Hinweise zu geben, die auf China als Ursprung dieser Attacke hindeuten.

Zu den betroffenen Ländern zählen laut Report unter anderem USA, Kanada, Schweiz, Deutschland oder auch Indien und Japan. Auch das Büro der Vereinten Nationen in Genf soll von dem Angriff betroffen sein. Neben zahlreichen Rüstungsunternehmen waren auch das olympische Komitee sowie andere hochrangige Sportorganisationen wie etwa die Welt-Anti-Doping-Agentur (WADA) betroffen. Auch einige High-Tech-Firmen seien bereits Ziel dieses Angriffs gewesen.

Die mit staatlicher Rückendeckung operierenden Hacker nutzten dabei mehrere hundert Server, die von einem westlichen Land aus gesteuert wurden. Darauf wurden über mehrere Jahre Log-Dateien gespeichert, die ältesten stammen aus dem Jahr 2006, wie Mc Afee mitteilt.

Entdeckt wurde die “Operation Shady RAT” genannte Kampagne von Dmitri Alperovitch, Vizepräsident des Bereichs Threat Research bei McAfee. Alperovitch hat hochrangige Beamte der US-Regierung, Regierungsbehörden und Angehörige des US-Kongresses über die Bedrohung informiert.

Er arbeite auch mit Strafverfolgungsbehörden zusammen, um den Kommando-Server der Operation auszuschalten. “Operation Shady RAT gehört zusammen mit ‘Operation Aurora’, den 2010 aufgedeckten Hackerangriffen auf Google und weitere Unternehmen, zu den bedeutendsten und potenziell schädlichsten Fällen von Internetspionage, die bisher bekannt wurden”, so Alperovitch.

Alperovitch sei erstmals Anfang 2009 auf Operation Shady RAT gestoßen, als ein Kunde von McAfee, ein Rüstungsunternehmen, ein verdächtiges Programm in seinem Netzwerk identifiziert hatte. Eine forensische Untersuchung habe ergeben, dass es sich dabei um eine zuvor unbekannte Art von Malware handelte, die ein Tool für einen Fernzugriff (Remote Access Tool, RAT) aus dem Internet lud. Im März 2011 habe Alperovitch schließlich eine Log-Datei auf dem Kommandoserver der Hacker entdeckt, die eine Identifikation aller Opfer ermöglichte.

In einem Blog zur Attacke warnt Alperovitch eindringlich davor, dass dies lediglich ein einzelner Angriff einer einzigen Gruppe sei. Beinahe wöchentlich würden vergleichbare Angriffe auf Unternehmen und Organisationen gefahren, von denen nicht selten selbst die betroffenen Unternehmen nichts mitbekämen. Die einzigen Organisationen die von dieser Gefahr nicht betroffen seien, seien “Unternehmen die nichts Wertvolles oder Interessantes haben, was zu stehlen lohnen würde.”