Entwendete NSA-Hacking-Tools: DoublePulsar offenbar gefährlicher als WannaCry-Einfallstor EternalBlue

Allmählich werden die Folgen des Diebstahls von bevorrateten Sicherheitslücken bei der NSA und deren Veröffentlichung durch die Hackergruppe ShadowBrokers deutlich. Wie von Experten schon direkt im Anschluss an die Veröffentlichung befürchtet, kommen sie bei diversen Angriffen Dritter zum Einsatz. Während die Hintermänner der Ransomware WannaCry die EternalBlue gennante Lücke ausnutzen und damit für viel Aufsehen sorgten, agieren andere verhaltener und stärker im Hintergrund. Sie sind aber deswegen nicht ungefährlicher. Das zeigt eine jetzt bekannt gewordene Attacke auf den US-amerikanischen Payment- und Telekommunikationsanbieter IDT Telecom.

Der Angriff wurde bereits im April, also schon kurz nach Veröffentlichung der NSA-Tools durchgeführt. Dabei kam zwar die WannaCry-Ransomware ebenfalls schon zum Einsatz, aber sie diente möglicherweise eher als Ablenkungsmanöver, um die wahren, mit Doublepulsar verfolgten Ziele der Angreifer zu kaschieren. Hinweise auf den Missbrauch von Doublepulsar gab es bereits Ende April. Damals stritten sich Experten aber über die Anzahl der infizierten Rechner und die Zählmethode.

Kurz darauf, am 29. April, wurde IDT Telecom damit angegriffen. Über den Angriff sprach die New York Times allerdings erst jetzt mit Golan Ben-Oni, bei IDT als Chief Information Officer für Sicherheit verantwortlich. Bei Doublepulsar handelt es sich um einen Kernel-Exploit. Er ermöglicht das verdeckte Eindringen in fremde Computersysteme und das Einrichten einer Hintertür. Laut Ben-Oni stiehlt Doublepulsar Anmeldedaten, verbirgt sich hervorragend und wird von nahezu keiner der bekannten Antivirenlösungen erkannt.

Bereits Mitte Mai hatte der Sicherheitsforscher Kafeine darauf hingewiesen, dass eine von ihm als “Adylkuzz” bezeichnete Krypto-Mining-Malware die von WannaCry als Einfallstor verwendete Lücke, den auf die SMB-Lücke ausgerichteten Exploit EternalBlue, ausnutzt und offenbar mit der Backdoor Doublepulsar kombiniert. Der Analyse des IT-Sicherheitsunternehmens Proofpoint zufolge, bei dem Kafein inzwischen arbeitet, war die Malware bei der Infektion ungepatchter Windows-Rechner außergewöhnlich effektiv.

Allerdings bietet Microsoft für unterstützte Betriebssysteme bereits seit März einen Patch für die ausgenutzte Sicherheitslücke in SMB an. Im Mai schob es dann sogar einen Patch für eigentlich nicht mehr unterstützte Betriebssysteme nach. Zu seiner Verteidigung griff der Konzern kurz darauf dann noch NSA und CIA verbal an: Sie seien für die derzeit laufenden Angriffe mitverantwortlich, weil sie von ihnen entdeckte Sicherheitslücken für die eigene Verwendung gehortet hätten, anstatt sie den Herstellern zu melden. Diese Praxis wird von Sicherheitsexperten schon seit langem kritisiert.

[mit Material von Bernd Kling, ZDNet.de]