SECURITY REIMAGINED HINTER DER DIGITALEN FRONT DES SYRIEN-KONFLIKTS DIES IST DIE GEKÜRZTE FASSUNG DES ORIGINALBERICHTS FIREEYE THREAT INTELLIGENCE

Transkript

1 FIREEYE THREAT INTELLIGENCE HINTER DER DIGITALEN FRONT DES SYRIEN-KONFLIKTS DIES IST DIE GEKÜRZTE FASSUNG DES ORIGINALBERICHTS Wie alt bist du? An einem Computer oder auf deinem Smartphone? Worüber nutzt du Skype? FEBRUAR 2015 AUTOREN: NART VILLENEUVE DANIEL REGALADO JOHN SCOTT RAILTON 1 SECURITY REIMAGINED

2 MITTE 2013 planten zehn bewaffnete Einheiten der Gegner des Regimes von Präsident Assad einen Großangriff, mit dem die Front gegen die syrischen Regierungstruppen verschoben werden sollte. Das klar gesteckte Ziel: Eine Reihe von Stellungen einnehmen und halten und den Ort Khirbet Ghazaleh, einen strategischen Punkt auf dem Weg zur Stadt Dar a, befreien. Die Einheiten nutzten Google Earth, um ihre Verteidigungslinien festzulegen und Rasterkoordinaten auszutauschen. Sie leiteten fotokopierte Schlachtpläne weiter, in die sie Abwehrstellungen an Böschungen mit rotem Kugelschreiber eingetragen hatten, und speicherten ihre Pläne als elektronische Bilder. Sie planten eine Schlacht, an der 700 bis 800 Oppositionsanhänger teilnehmen sollten. Sie waren in Gruppen aufgeteilt, die separate Angriffe, auch aus dem Hinterhalt, durchführen sollten. Sie steckten Standorte für Reservetruppen, Sammelpunkte und Hilfskräfte im Einsatzgebiet ab und planten Versorgungsrouten für ihre Streitkräfte. Sie erteilten den Kommandeuren der einzelnen Einheiten die strikte Anweisung, keine Einzelentscheidungen ohne Genehmigung des Einsatzkommandos zu treffen. 1 John Scott Railton ist wissenschaftlicher Mitarbeiter des Citizen Lab an der Munk School of Global Affairs der University of Toronto und Doktorand an der UCLA. 2

3 DER ANGRIFF SOLLTE mit Sperrfeuer aus 120-mm-Granatwerfern beginnen, gefolgt von einem Überfall auf wichtige Standorte der Regierungstruppen. Die Oppositionskräfte erfassten die Männer in den verschiedenen Einheiten in Listen, die neben dem Namen auch das Geburtsdatum und andere personenbezogene Daten enthielten. Den Munitionsbedarf pro Mann kalkulierten sie mithilfe von Formeln in einer bunten Excel-Tabelle. Sie besorgten schwere Waffen und teilten sie verschiedenen Angriffspunkten zu, darunter mehrere Panzer, ein BMP-Kampffahrzeug, 14,5- und 23-mm-Flugabwehrgeschütze, 82-mm-Leichtgeschütze vom Typ B-10 und jugoslawische 90-mm-Panzerabwehrwaffen vom Typ M79 Osa. Schließlich stellten sie noch medizinische Teams zusammen und besorgten Krankenwagen zum Einsatz auf dem Gefechtsfeld. Deren Besatzung bestand aus einem Fahrer, einem Träger und zwei bewaffneten Kämpfern zur Unterstützung. All diese Schlachtpläne haben wir im Zuge unserer laufenden Bedrohungsforschung aufgedeckt. Es war schnell klar, dass wir auf gestohlene Dokumente gestoßen waren, welche die geheime Kommunikation und Planung der syrischen Oppositionskräfte enthielten. Sie waren einem ausgeklügelten Hackerangriff zum Opfer gefallen. Die Hacker stahlen spätestens ab November 2013 bis Januar 2014 zahlreiche wichtige Dokumente und dokumentierte Skype- Gespräche. Darin enthalten waren Informationen zur Strategie der syrischen Opposition, taktischen Schlachtplänen, Nachschubbedarf und eine Fundgrube an personenbezogenen Daten und Chatprotokollen der gegen die Armee des syrischen Präsidenten Baschar al-assad Krieg führenden Männer. Uns ist nicht bekannt, wer diesen Hackerangriff durchgeführt hat. Doch falls diese Daten den Streitkräften von Präsident Assad oder ihren Verbündeten in die Hände gefallen sind, könnte ihnen dadurch ein deutlicher Vorteil auf dem Schlachtfeld entstanden sein. Die Hacker nutzten eine bekannte Taktik: Sie verwickelten ihre Opfer in Gespräche mit scheinbar sympathischen und attraktiven Frauen. Ein weiblicher Avatar beginnt ein Skype-Gespräch und schickt dem späteren Opfer ein persönliches Foto. Zuvor wird gefragt, welches Gerät das Opfer benutzt ein Android-Smartphone oder einen Computer, um mutmaßlich entsprechend maßgeschneiderte Malware zu versenden. Sobald das Opfer in diesem Fall das mit Malware versehene Foto heruntergeladen hatte, griffen die Hacker auf das Gerät zu. Sie durchstöberten Dateien und entwendeten Daten, die die Mitglieder der Oppositionskräfte identifizierten, ihre Skype-Chatprotokolle und -Kontakte sowie unzählige Dokumente über geplante militärische Operationen gegen die Streitkräfte Assads. 3

4 WICHTIGSTE ERGEBNISSE DATENDIEBSTAHL OPFER TAKTIKEN UND TECHNIKEN MALWARE MÖGLICHE UNTERSTÜTZUNG Die Hacker stahlen Hunderte Dokumente und Protokolle von Skype-Chatsitzungen, in denen die Pläne und die Logistik für den Angriff der syrischen Opposition auf die Streitkräfte von Präsident Assad besprochen wurden. Zu den Opfern zählten unter anderem Mitglieder der syrischen Opposition, Medienaktivisten und humanitäre Helfer in Syrien, der Region und anderen Gebieten. Die Hacker benutzten weibliche Skype- Avatare, um mit den Opfern zu chatten und deren Geräte mit Malware zu infizieren. Sie fragte ihren Chatpartner, ob er Skype auf einem Android-Gerät oder einem Computer nutze, um speziell für das jeweilige Gerät entwickelte Malware zu verschicken. Die Hacker betrieben zudem eine scheinbar pro-oppositionelle Website, die Links zu schädlichen Downloads enthielt. Auch legten sie Facebook-Profile mit schädlichen Links an. All dies lief über Server außerhalb Syriens. Die Hacker benutzten ein vielfältiges Malware-Toolset, das auf Ressourcen für deren Entwicklung schließen lässt. Sie verwendeten sowohl breit verfügbare als auch individuelle Malware zur Kompromittierung ihrer Opfer, darunter das Remote Access Tool DarkComet, einen angepassten Keylogger und Tools mit verschiedenen Shellcode-Payloads. Wir haben nur begrenzte Hinweise auf den Ursprung dieses Angriffs. Bei der Untersuchung der Malware und der Nutzung sozialer Medien durch den Avatar fanden wir jedoch mehrere Bezüge zum Libanon. 4

5 FAZIT Auf den ersten Blick folgte diese Gruppierung einem gängigen Handlungsschema: Die Angreifer bahnen sich per Social Engineering ihren Weg zum Computer des Opfers und stehlen anschließend die Daten. Doch wie bei allen guten Handlungssträngen gab es auch hier eine überraschende Wendung. Die Opfer wurden stets nach dem von ihnen verwendeten Gerät Computer oder Android- Smartphone befragt, sodass sich ihnen speziell für diese Geräte entwickelte Malware unterjubeln ließ. Neben der Vielzahl gestohlener politischer und militärischer Dokumente konzentrierte sich die Gruppe auf die Skype-Datenbanken des Opfers, die dessen Kontakte und Echtzeit- Kommunikation enthielten und den Angreifern Einblicke in die Beziehungen und Pläne der Oppositionellen lieferten. Wir nehmen an, dass sie ihre nächsten Ziele meist aus den Skype- Kontakten des Opfers auswählten. Da den Mitgliedern der Opposition inmitten des Krieges nur kostspielige Internetverbindungen per Satellit zur Verfügung stehen, sind sie auf die gemeinsame Nutzung von Geräten angewiesen. So ermöglichte der Angriff auf ein einzelnes Gerät Zugriff auf deren gesammelte Planung und Kommunikation. Im Gegensatz zu anderen von uns untersuchten Bedrohungsszenarien handelt es sich hier nicht um einfache Cyberspionage, die auf den Erhalt eines Informationsvorsprungs oder die Erreichung strategischer Ziele abzielt. Vielmehr liefert ein solcher Angriff mitten im Krieg nützliche militärische Informationen, die zu einem unmittelbaren Vorteil auf dem Schlachtfeld führen. Er liefert Einblicke, die einen kritischen Versorgungsweg unbrauchbar machen und einen Hinterhalt aufdecken können und mit deren Hilfe sich Schlüsselakteure identifizieren und verfolgen lassen. Diese Informationen spielen wahrscheinlich eine wichtige Rolle bei der Planung der Operationen des Gegners und seinen taktischen Entscheidungen. Erreicht wird dieser taktische Vorteil indes mit einem potenziell hohen Tribut an Menschenleben. DOWNLOAD DES VOLLSTÄNDIGEN BERICHTS: HINTER DER DIGITALEN FRONT DES SYRIEN-KONFLIKTS 5

6 Diesen und weitere Berichte von FireEye Threat Intelligence finden Sie unter: FireEye, Inc McCarthy Blvd. Milpitas, CA FIREEYE ( ) FireEye, Inc. Alle Rechte vorbehalten. FireEye ist eine eingetragene Handelsmarke von FireEye, Inc. Alle anderen Marken, Produkte oder Servicenamen sind Marken oder Dienstleistungsmarken der jeweiligen Eigentümer. RPT.SYR-SM.EN-US