Neue CIA-Hacking-Tools für Mac und Linux veröffentlicht

Wikileaks veröffentlicht weitere Tools der CIA (Central Intelligence Agency). So sind jetzt Details über weitere Hackingtools für MacOS und Linux verfügbar. Das Rootkit SeaPea etwa eignet sich für Mac OS X 10.6 Snow Leopard und Mac OS X 10.7 Lion.

Derzeit sei aber nicht klar, ob das Rootkit auch neuere Versionen von Apples Desktop-Betriebssystem unterstützt. Das Dokument, das Wikileaks veröffentlicht wurde zuletzt im Juli 2011 bearbeitet und bezieht sich auf die Version 4.0 von SeaPea. Die CIA könnte eine neuere Version entwickelt haben, die auch unter Mac OS X 10.8 Mountain Lion, 10.9 Mavericks, 10.10 Yosemite, 10.11 El Capitan, 10.12 Sierra oder unter 10.13 High Sierra läuft.

SeaPea könne sich tarnen und selbst weitere Hacking-Tools starten. Zudem soll das Rootkit in der Lage sein, Dateien oder Verzeichnisse, Socket-Verbindungen und auch Systemprozesse zu verstecken. Die Installation erfolgt über ein Python-Skript, mit dem das Installations- und Startverzeichnis festgelegt werden. Da Rootzugriff benötigt wird, müssen die Mitarbeiter des Geheimdiensts also bereits den betreffenden Mac kontrollieren. Ob dies aus der Ferne geschieht oder über einen physischen Zugriff, lässt das Dokument offen.

Das Rootkit verbleibt demnach auf einem infizierten System, bis die Festplatte neu formatiert wurde. Ein Upgrade auf eine neue OS-Version soll das Rootkit unbrauchbar machen. Darüber hinaus soll es in der Lage sein, sich selbst zu löschen, falls es feststellt, dass es nicht mehr korrekt funktioniert. Die CIA weist in dem Dokument darauf hin, dass das Rootkit entdeckt werden kann, falls der Nutzer mit einem anderen Betriebssystem als Mac OS X auf die Festplatte zugreift. In dem Fall sei SeaPea nicht in der Lage, seine Dateien und Verzeichnisse zu verstecken.

Das Werkzeug Achilles wird in einer Anleitung beschrieben, die auf Juli 2015 Datiert ist.
Damit kann ein OS-X-Disk-Image (Dateiendung .dmg) mit einem Trojaner infiziert werden . Es wurde unter Mac OS X 10.8 Snow Leopard sowie mit Core-Duo-Prozessoren von Intel getestet.

DMG-Dateien werden unter Mac OS X zur Installation von Anwendungen benutzt. Eine solche infizierte Installationsdatei soll sich laut CIA genauso verhalten wie die ursprüngliche DMG-Datei. Beim ersten Start der legitimen Anwendungen sollen jedoch alle ausführbaren Dateien des Trojaners gestartet werden. Danach soll der Trojaner seine Spuren aus der infizierten Installationsdatei entfernen, sodass kein Unterschied zur legitimen Anwendung festgestellt werden kann. Allerdings können zumindest sehr versierte Nutzer einer App unter Umständen erkennen, das der Installer manipuliert wurde: Sollte normalerweise ein Lizenzvertrag während der Installation angezeigt werden, erscheint dieser nicht beim Start des manipulierten Installers.

Unter dem Namen Aeris führte die CIA indes eine in C geschriebene Malware für verschiedene Linux-Betriebssysteme in ihrem Arsenal. Sie war für Debian Linux 7 (32- und 64-Bit sowie ARM), Red Hat Enterprise Linux 6 (32- und 64-Bit), Solaris 11 (32-Bit x86 und Sparc), FreeBSD 8 (32- und 64-Bit) sowie CentOS 5.3 und 5.7 optimiert.

Aeris liest ausgehende E-Mails abzufangen und Dateien zu lesen und meldet diese verschlüsselt an den Geheimdienst. Darüber hinaus soll Aeris bei der Entwicklung von Schadsoftware für spezifische Ziele und Zwecke zum Einsatz kommen. Auch hier ist unklar, ob auch neuere OS-Versionen betroffen sind und ob das Tool überhaupt noch von der CIA aktiv genutzt wird.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.