DevilsTongue Spionagesoftware der israelischen Firma Candiru nutzte Windows-Schwachstellen

[English]Nachdem ich gerade über Spionage-Trojaner der israelischen NSO Group auf Smartphones berichtete (siehe Pegasus-Spionagesoftware der NSO-Group auf vielen Smartphones), kann ich auch den zweiten Fall offen legen. Die israelischen Firma Candiru hat Schwachstellen in Windows ausgenutzt, um ihre DevilsTongue genannte Spionagesoftware auf installieren. Die Schwachstellen sind inzwischen aber behoben.

Microsoft hat bereits am 15. Juli 2021 diesen Sachverhalt im Blog-Beitrag Protecting customers from a private-sector offensive actor using 0-day exploits and DevilsTongue malware öffentlich gemacht. Das Microsoft Threat Intelligence Center (MSTIC) hat zusammen mit dem Microsoft Security Response Center (MSRC) einen privaten offensiven Akteur (Private Sector Offensive Actor, PSOA) entdeckt, den Microsoft als SOURGUM bezeichnet. Dieser Akteur hatte Kenntnis der jetzt gepatchten Windows 0-Day-Exploits (CVE-2021-31979 und CVE-2021-33771).

Die Sicherheitsforscher von Citizen Lab nehmen in diesem Blog-Beitrag kein Blatt vor den Mund und nennen die israelische Firma Candidru als Urheber. Das abseits der Öffentlichkeit agierende Unternehmen Candiru erstellt Hacking-Tools, die zum Einbruch in Computer und Server verwendet werden.

Die Sicherheitsforscher von Citizen Lab identifizierten ein politisch aktives Opfer in Westeuropa und konnten eine Kopie der Windows-Spyware von Candiru sicherstellen. Mithilfe von Internet-Scans haben die Sicherheitsforscher mehr als 750 Websites identifiziert, die mit der Spyware-Infrastruktur von Candiru verbunden sind. Die Forscher fanden viele Domains, die sich als Interessenvertretungsorganisationen von NGOs wie Amnesty International, die Black Lives Matter-Bewegung sowie als Medienunternehmen und andere zivilgesellschaftliche Organisationen ausgaben, aber die Candiru-Spähsoftware auslieferten.

Offenbar sollten politisch Aktive durch die Candiru-Spähsoftware ausgekundschaftet werden, schließen die Sicherheitsforscher aus den gefundenen Webseiten. Ein geleaketer Candiru-Projektvorschlag, der von TheMarker veröffentlicht wurde, zeigt, dass die Spyware von Candiru über eine Reihe verschiedener Vektoren installiert werden kann, darunter bösartige Links, Man-in-the-Middle-Angriffe und physische Angriffe.  Es wird auch ein Vektor namens "Sherlock" angeboten, der angeblich unter Windows, iOS und Android funktioniert. Dabei handelt es sich möglicherweise um einen browserbasierten Zero-Click-Vektor für Angriffe.

Details zur Spyware

Die Spyware von Candiru wurde über COM-Hijacking des nachfolgend genannten Registrierungsschlüssels persistent in Windows installiert:

HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{CF4CC405-E2C5-4DDD-B3CE-5E7582D8C9FA}\InprocServer32

Normalerweise verweist der Wert dieses Registrierungsschlüssels auf die  Datei wmiutils.dll (gehört zu "Windows Management Instrumentation"). Auf dem infizierten Computer wurde der Eintrag so geändert, dass er auf eine bösartige DLL-Datei verweist, die im Windows-Systemordner abgelegt wurde. Der Ordner ist mit der japanischen Eingabemethode (IMEJP)

C:\WINDOWS\system32\IMEJP\IMJPUEXP.DLL

verbunden. Dieser Ordner ist harmlos und in einer Standardinstallation von Windows 10 enthalten, aber IMJPUEXP.DLL ist nicht der Name einer legitimen Windows-Komponente.

Beim Windows-Start wird automatisch der Windows Management Instrumentation-Dienst geladen, der den DLL-Pfad im Registrierungsschlüssel nachschlägt und dann die DLL aufruft. Damit ist die Spyware wirksam. Microsoft und Citizen Lab haben bei der Analyse zusammen gearbeitet, wie man hier nachlesen kann. Es wurden weltweit mehr als 100 Opfer dieser Spyware gefunden, darunter Politiker, Menschenrechtsaktivisten, Journalisten, Akademiker, Botschaftsmitarbeiter und politische Dissidenten. Um diese Angriffe einzudämmen, hat Microsoft Schutzmechanismen gegen diese einzigartige DevilsTongue-Spyware entwickelt und in seine Produkte integriert. Auch die anderen Antiviren-Hersteller dürften die Malware inzwischen erkennen. Zudem wurde Windows durch ein Software-Update vor den verwendeten Exploits geschützt.

Citizen Lab breitet in diesem Artikel die Details zur Spyware aus, die wohl nicht direkt von Candiru eingesetzt, sondern nur an diverse Kunden verkauft wurde. Diese haben dann die Software verwendet, um die oben genannten Opfer zu infizieren. Der Fall zeigt, gemeinsam mit dem Fall der Pegasus-Spionagesoftware, dass die Dinge längst aus dem Ruder gelaufen sind.

Alles abschalten

Im Moment kann man eigentlich nur noch das Zeug abschalten, denn zwischen Angriffen von staatlichen Hackergruppen zur Spionage, Ransomware-Angriffen von privaten Gangs und den von Staaten angewandten Spionage- und Überwachungstools bleibt wenig Raum, um unbehelligt zu bleiben. Und die "ich habe nichts zu verbergen"-Fraktion exponiert sich dann noch freiwillig in sozialen Medien.

Gerade hat Facebook bekannt gegeben, dass man Maßnahmen gegen eine iranische Hackergruppe unternommen habe. Diese hatte versucht, Militärangehörige über Facebook mittels Social-Engineering in die Falle zu locken. Die Stasi hätte feuchte Augen bekommen, wenn bis 1989 solche Mittel zur Verfügung gestanden hätten.

Und im Hinblick auf "wir werten anonymisierte Benutzerdaten aus", die über Webseiten oder soziale Netzwerke über die Geräte des Surfers erfasst werden, ist mir gerade obiger Tweet unter die Augen gekommen. Vice wirft in diesem Artikel einen Blick auf eine Phalanx aus Firmen, die sich darauf spezialisiert haben, aus genau diesen anonymisierte Benutzerdaten die Identitäten der Menschen wieder zu ermitteln.