Startseite > Office & Kommunikation > Stuxnet 4.0 - nur eine Frage der Zeit!

M2M-Hotspot

Stuxnet 4.0 - nur eine Frage der Zeit!

19. Februar 2014, 9:46 Uhr | Meinrad Happacher

Fortsetzung des Artikels von Teil 1

Schneller als Yahoo

Nach dem vorläufigen Auswertungsstand der Snowden-Unterlagen ergab sich zum Ende des vergangenen Jahres in etwa folgende Lage: Die NSA hört im Rahmen von Prism, XKeyscore und Tempora zusammen mit Partnern in etwa 75 Prozent des weltweiten Internetverkehrs – E-Mails, Zugriff auf soziale Netzwerke, Besuche auf bestimmten Websites – ab und erzeugt aus diesen Aktivitäten riesige Mengen an Metadaten, die überwiegend in zwei Datenbanken mit den Namen Marina und Mainway – teilweise zusammen mit dem abgehörten Content – gespeichert werden. Diese Metadaten werden dann mit 'Contact Chaining'-Methoden bearbeitet, um aus den mehr oder weniger anonymisierten Daten einzelne Systeme und Nutzer identifizieren zu können. Ist ein Zielsystem (Target) identifiziert, kann es bei Bedarf jederzeit durch die TAO mit einem maßgeschneiderten Angriff attackiert werden. Darüber hinaus kam im Herbst 2013 durch einen Bericht der niederländischen Abendzeitung NRC Handelsblad heraus, dass die NSA weltweit bereits weit mehr als 50.000 Netzwerke mit CNE-Malware (Computer Network Exploitation) infiltriert hat. Diese Vorrats-Infiltration dient offensichtlich dazu, einen Cyber-Spion im Zielnetzwerk zu haben, der sich bei Bedarf aktivieren lässt.

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Durch Jacob Appelbaum ist bekannt, dass sich die NSA zusätzliche Werkzeuge mit den Namen Turmoil, Turbine, QFire beziehungsweise Quantum geschaffen hat, um den Datenverkehr zwischen Client-Systemen (als Targets) und Servern in Echtzeit abzuhören und zu manipulieren (siehe Bild). Dabei wird über eine Router-Backdoor der Datenverkehr nach einem Selektor durchsucht, zum Beispiel der Webzugriff eines Targets auf die Yahoo-Website. Wird ein solcher Selektor erkannt, versucht ein NSA-Server mit dem Namen Foxacid schneller als Yahoo zu antworten und dem Client eine gefälschte Website unterzuschieben (Spoofing), über die dann eine Schadsoftware – zum Beispiel eine CNE-Malware – auf dem Target installiert wird. Da dieses Verfahren eine beachtliche Geschwindigkeit erfordert und darüber hinaus auf Browser-Schwachstellen angewiesen ist, wird es nicht bei jedem Versuch klappen. Wird dieser Vorgang allerdings oft genug wiederholt, ist die Wahrscheinlichkeit einer erfolgreichen Infiltration recht hoch. Die Abhörsensorik mit Selektor-Erkennung arbeitet nach einem Deep-Packet-Inspection-Prinzip (DPI) und wird Turmoil genannt. Hinter dem Namen Turbine verbirgt sich ein Deep-Packet-Injection-Verfahren für das Spoofing, QFire und Quantum sind offensichtlich Oberbegriffe für den automatischen Betrieb von Turmoil und Turbine.