Equation Group: Der Spionage-Ring aus Malware

Fanny, Greyfish oder Equationlaser: So heißen mehr als ein halbes Dutzend Trojaner, mit denen seit mehreren Jahren weltweit Regierungen, Unternehmen und Forschungseinrichtungen ausspioniert werden. Verbreitet und gesteuert werden sie offenbar von einer Gruppe - der Equation Group.

Artikel veröffentlicht am ,
Der Trojaner Fanny der Equation Group nistet sich in der Firmware von USB-Sticks ein.
Der Trojaner Fanny der Equation Group nistet sich in der Firmware von USB-Sticks ein. (Bild: Kaspersky)

Seit 2001 ist sie aktiv: die vom russischen IT-Sicherheitsunternehmen Kaspersky benannte Gruppe Equation Group. Sie verwendet ein ganzes Arsenal an Malware und Trojanern, mit denen sie Festplatten infiziert oder versucht, geschlossene Systeme auszuspionieren. Bei seiner Analyse mehrerer Malware-Proben hat Kaspersky Gemeinsamkeiten entdeckt, aus denen das Unternehmen schließt, dass die Equation Group dahintersteckt.

  • Fanny infiziert USB-Sticks. (Bilder: Kaspersky)
  • Greyfish infiziert die Firmware von Festplatten.
  • Die von der Equation Group verwendete Malware
  • Seit mehr als zehn Jahren entwickelt die Gruppe immer ausgereiftere Spionagesoftware.
  • Der Entwicklungszyklus einer Malware
  • Fanny wird verwendet, um abgetrennte Netzwerke auszuspionieren.
  • Die Weltkarte zeigt die Verbreitung der Malware der Equation Group.
  • Die Architektur der Malware Greyfish
Die Weltkarte zeigt die Verbreitung der Malware der Equation Group.
Inhalt:
  1. Equation Group: Der Spionage-Ring aus Malware
  2. Exploits wurden später in Stuxnet verwendet

Die Gruppe sei ein "Bedrohungsakteur, der hinsichtlich technischer Komplexität und Raffinesse alles bisher Bekannte in den Schatten stellt", heißt es bei Kaspersky. Sie setze sehr komplizierte Werkzeuge ein, die kostenintensiv entwickelt seien. Ihre Aktionen verberge sie auf außergewöhnlich professionelle Weise. Wegen der verwendeten Verschlüsselung gab Kaspersky der Gruppe den Namen Equation Group.

Command-and-Control-Server in aller Welt

Die Aktivitäten der verwendeten Command-and-Control-Server (C&C-Server) seien bisweilen aber bis 1996 zurückzuverfolgen. Es handelt sich wohl um eine ganze C&C-Infrastruktur mit mehr als 300 Domains und über 100 Server in mehreren Ländern, darunter auch in Deutschland, den USA, Großbritannien, Italien und den Niederlanden. Kaspersky hat auch Server in Panama, Costa Rica, Malaysia oder Kolumbien gefunden.

Auffallend ist die von Kaspersky veröffentlichte weltweite Karte der infizierten Opfer. Länder mit einer hohen Infektionsrate liegen fast ausschließlich in Asien. Die meisten verzeichnet die Karte im Iran, gefolgt von Russland und Pakistan. Zu den dortigen Opfern gehören Militär- und Regierungseinrichtungen, Telekommunikationsunternehmen und Finanzinstitute. Zu den Ländern mit einer mittleren Infektionsrate zählen zahlreiche arabische und afrikanische Staaten, aber auch Großbritannien und Mexiko. Auch in Deutschland werden Infektionen registriert, allen voran bei Telekommunikationsunternehmen. In den USA sind laut Kaspersky vor allem islamische Aktivisten und Gelehrte betroffen.

Zero-Days und weitere Exploits

Beispielhaft für einen Infektionsweg nennt Kaspersky den Besuch eines polnischen Wissenschaftlers auf einer Konferenz in Houston im US-Bundesstaat Texas. Nach der Konferenz wurde ihm eine CD-ROM mit dort aufgenommenen Fotos zugesandt, die mit Malware infiziert war.

Die Malware versuchte, über mehrere, damals noch funktionierende Exploits die Rechner ihrer Opfer zu infizieren. Bei mindestens vier davon handele es sich um Zero-Day-Lücken. Mindestens vier davon griffen den Firefox-Browser in Version 17 an, der auch im Tor-Browser-Bundle verwendet wurde. Die meisten Proben versuchten es mit drei Exploits.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Exploits wurden später in Stuxnet verwendet 
  1. 1
  2. 2
  3.  


TheUnichi 25. Feb 2015

Habe ich. Stammtischgelaber... Doch, es gibt genug Gründe, wie z.B. sein eigenes...

Bouncy 18. Feb 2015

Bei mir schon, vor allem in den Bildergalerien nervt es -> Mauszeiger auf den Weiter...

carnival 18. Feb 2015

als kommerzieller kunde hast du im zweifel die agb des herstellers beim kauf akzeptiert...

Anonymer Nutzer 17. Feb 2015

Wo? In Freie Hardware für Dummies?



Aktuell auf der Startseite von Golem.de
20 Jahre Far Cry
Das deutsche Grafikwunder

Mit Far Cry feierte der deutsche Entwickler Crytek 2004 ein viel beachtetes Debüt. Kann der Südsee-Shooter auch 20 Jahre später noch beeindrucken?
Von Benedikt Plass-Fleßenkämper

20 Jahre Far Cry: Das deutsche Grafikwunder
Artikel
  1. Softwareentwicklung: Events und APIs mit DDD entwerfen
    Softwareentwicklung
    Events und APIs mit DDD entwerfen

    Anforderungen an Software ändern sich schneller als je zuvor. Damit Entwickler da mitkommen, sollten sie Domain-driven Design nutzen. Wie das geht, zeigen wir an einem Beispiel.
    Von Annegret Junker

  2. KI-PCs: Microsoft erwartet von NPUs mindestens 40 TOPS
    KI-PCs
    Microsoft erwartet von NPUs mindestens 40 TOPS

    Der in Windows integrierte Copilot soll wesentliche KI-Funktionen künftig lokal auf der NPU und nicht mehr in der Cloud ausführen.

  3. Elektromobilität: Warum der Elektroauto-Hype erst anfängt
    Elektromobilität
    Warum der Elektroauto-Hype erst anfängt

    In den vergangenen Wochen konnte man den Eindruck gewinnen, als sei das Elektroauto schon abgeschrieben. Doch das scheint eine typisch deutsche Debatte zu sein.
    Eine Analyse von Friedhelm Greis

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • Super Sale bei Alternate • MindStar: AMD Ryzen 9 7900 339€, MSI RTX 4080 Super Ventus 3X OC 1.099€ • Alternate: DeepCool LS520 76,89€, Corsair RM850x 2021 124,90€ und 750x 109,90€, ADATA 64-GB-Kit DDR5-6000 206,89€ • Gratis-Zugaben PS5 Slim & Nintendo Switch OLED beim TV-Kauf [Werbung]
    •  /