Russische Forscher finden Spionage-Software in Festplatten-Firmware

Eine ganz wilde Geschichte gibt es derzeit wieder aus der Welt der Überwachung zu erzählen. Dass Behörden Nutzer überwachen wollen, dies dürfte kein Geheimnis mehr sein, man soll dabei nicht nur klassische Software einsetzen, sondern auch nicht vor modifizierter Firmware von Hardware zurückschrecken.

Nach einem Bericht von Kaspersky verfolgt man eine Gruppe, die auf den Namen „Equation“ hört. Diese Gruppe hat bislang unbekannte Methoden gefunden, um Malware in der Firmware von Festplatten zu verankern – wo sie nicht nur extrem schwer aufzuspüren, sondern auch noch schwerer zu entfernen sei,

Diese Schadsoftware hat man bei den üblichen Verdächtigen aus der Festplattenbranche gefunden: Samsung, IBM, Micron, Western Digital, Maxtor, Seagate, Toshiba und Hitachi. Dabei soll die Gruppe Equation eng mit Stuxnet verbunden sein, da sie ähnliche Techniken und Sicherheitslücken ausnutzte, zudem im gleichen Zeitraum agierten.

Naheliegender Verdacht: die Ähnlichkeit der ausgenutzten Lücken erinnert an jüngst veröffentlichte Methoden, die die amerikanische NSA (National Security Agency) einsetzte, um Festplatten zu infizieren.

Hier wird natürlich nun spekuliert, dass Equation ein Teil der NSA sein könnte – was die festgestellte Schadsoftware auf Festplatten wieder in den Bereich Späh- und Spionagesoftware aus Behördenhand bringen könnte. Sollte dies der Fall sein, dann hätte die NSA wohl gute Chancen, an gewünschte Daten zu kommen. Für die meisten Nutzer dürfte die Schadsoftware unbemerkt bleiben, zudem wird sie eine Partitionierung und Formatierung der Festplatte überleben.

Kaspersky gab laut Angaben von Reuters an, dass man den Schädling auf Rechnern in 30 Ländern gefunden habe – und dieser sich durch alle Bereiche ziehe: Firmen aus der Telekommunikationsbranche, Banken, das Militär, Medien – eben alles, was so geht. Kaspersky vermied es, die NSA direkt zu nennen, stellte lediglich die Nähe zu Stuxnet dar – ein ehemaliger NSA-Mitarbeiter soll gegenüber Reuters aber angedeutet haben, dass die Analyse von Kaspersky korrekt sei.

Das Spionageprogramm ist kein Fall, der erst jüngst aktiv wurde – Kaspersky konnte Spuren bis in das Jahr 2001 zurück verfolgen. Bitte nicht in falsche Panik verfallen: die Schadsoftware ist offenbar nicht ab Werk auf den Festplatten, sondern erst hinterher durch eine Manipulation auf diese gekommen, um Ziele bewusst auszuspähen.

Während Seagate, Western Digital und Micron aussagten, nichts von diesem Spionageprogramm zu wissen, haben Toshiba und Samsung einen Kommentar abgelehnt und IBM hat überhaupt nicht auf eine Anfrage reagiert. Unklar ist, wie die Angreifer an den Sourcecode der Festplatten kamen, ein Sprecher von Western Digital teilte mit, dass man keinen Code mit Behörden teile. Allerdings können Behörden, die Hardware einkaufen – beispielsweise für das Pentagon – einen Security Audit durchführen, um zu überprüfen, ob der Code sicher ist. Auch Microsoft gibt Einblicke in das System. Interessierte Nutzer finden die Analyse von Kaspersky in diesem PDF.