CIA-Malware kann SMS-Nachrichten von Android-Nutzern abfangen

Wikileaks hat ein CIA-Handbuch für eine HighRise genannte Schadsoftware veröffentlicht für Android. Sie ist demnach in der Lage, auf Geräten mit Googles Mobilbetriebssystem SMS-Nachrichten umzuleiten und abzufangen. Das Dokument ist Teil der als Vault 7 bezeichneten Sammlung von Unterlagen, die von der Central Intelligence Agency (CIA) stammen sollen.

Die im Dezember 2013 erstellte Anleitung bezieht sich auf Android 4.0 bis 4.3. Sie wurden zwischen Oktober 2011 und Oktober 2013 veröffentlicht. Google zufolge kommen sie derzeit noch auf einen Anteil von 8,8 Prozent. Dem Handbuch zufolge ist die darin beschriebene Version HighRise 2.0 eine Portierung für Android 4.0 bis 4.3. Es gab daher offenbar auch eine Version für frühere Android-Releases.

In diesen OS-Versionen sei es möglich gewesen, Apps sofort nach der Installation für einen automatischen Start mit dem Betriebssystem zu registrieren. Seit Android 4.0 muss eine App zuerst manuell gestartet werden, bevor die Autostartfunktion eingerichtet werden kann. “Als Folge erscheint die HighRise-Anwendung nun in der Liste der installierten Apps, damit sie von einem HighRise-Operator gestartet werden kann”, führt das Dokument daher aus.

Daher ist davon auszugehen, dass die CIA HighRise 2.0 vorrangig auf bereits kompromittierten Geräten eingesetzt hat, auf denen ihre Mitarbeiter die Möglichkeit hatten. Der Anleitung zufolge wurde beim ersten Start der App von einem ein CIA-Mitarbeiter das voreingestellte Passwort “inshallah” eingegeben und die App über den Button “Initialize” eingerichtet.

So wurde ein Autostart-Eintrag erzeugt und die App in den Hintergrund versetzt. In den Einstellungen der App ließ sich eine URL für den sogenannten “Listening Point” und das Abhörintervall in Minuten festlegen.

Laut dem CIA-Dokument ist HighRise ein SMS-Proxy. Als solcher leitet er eingehende Nachrichten an einen “Listening Point” im Internet weiter. Die App soll auch der Kommunikation zwischen dem “HighRise Field Operator” und der Listening Point genannten Abhöreinrichtung der CIA dienen. Zudem kann HighRise jegliche Internetkommunikation per TLS/SSL verschlüsseln.

Seit März Wikileaks veröffentlicht nahezu im Wochenrhythmus neue Geheimdokumente der CIA. Dadurch wurde unter anderem bekannt, dass die CIA Zero-Day-Lücken in Windows und Cisco-Switches ausgenutzt hat. Die CIA soll seit Jahren aber auch WLAN-Router ausspähen und über diverse Tools für Angriffe auf Android-und iOS-Geräte verfügen. Die von der CIA entwickelten Malware-Tools BothanSpy und Gyrfalcon können zudem SSH-Anmeldedaten ausspähen und mit Brutal Kangaroo verfügt die CIA über ein Tool, mit dem sich in erster Linie über USB-Sticks auch Netzwerke infizieren lassen, die nicht mit dem Internet verbunden sind.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.