ICF Gera - IT-Forensik, Datenrettung und Datenanalyse

Quellcodes von Antivirenherstellern geknackt

 Beitrag von Vlad Georgescu

Tatsächlich markiert der Monat Mai 2019 einen Wendepunkt. Denn zum ersten Mal gelangten Hacking Units nicht an die Daten von Millionen Nutzern, sondern an den Heiligen Gral eines jeden Softwareentwicklers: den Quellcode. Als reichte dies allein nicht aus, setzten die Hacker einen drauf – und klauten wichtige Programmierzeilen von Symantec, Trend Micro und McAfee, jenen Unternehmen also, die mit ihren Antiviren und Endpoint-Protection-Tools unzählige kritische Infrastrukturen weltweit absichern sollen. Und bislang als feste Größe im Kampf gegen die Organisierte Kriminalität galten.

Der Chat-Dienst WhatsApp wird weltweit von über 1,5 Milliarden Menschen genutzt.
Israelische Spionage-Software wurde durch Anruf installiert
So arbeitet Trend Micro "seit 2013 mit Interpol zur Bekämpfung von Cyberkriminalität zusammen", wie Wikipedia derzeit noch vollmundig beschreibt. Noch 2016 – im Zeitalter der Bits und Bytes eine digitale Ewigkeit – verkündete das japanische Unternehmen einen sensationellen Erfolg:

Der japanische IT-Sicherheitsanbieter Trend Micro hat zur Festnahme des Anführers eines internationalen kriminellen Netzwerks beigetragen. Dieser steht im Verdacht, mehr als 60 Millionen US-Dollar durch die cyberkriminellen Methoden 'Business Email Compromise' (BEC) und 'CEO Fraud' erbeutet zu haben", hieß es damals in der entsprechenden Mitteilung des global operierenden Cyberunternehmens.

Nicht minder selbstbewusst gab sich der US-amerikanische Gigant Symantec – und trug auf dem Interpol World Congress 2015 seine Sichtweise von Cyberstrategie vor. Dass Symantec zu den Speerspitzen der amerikanischen Cyberabwehr zählt, galt bis Mai dieses Jahres als Binsenweisheit. Ebenso seine Nähe zur National Security Agency (NSA). Schon vor einem Jahrzehnt dozierten Fachleute der privaten Firma vor Fachleuten der NSA – keinesfalls ungewöhnlich, denn auch russische und chinesische Privatunternehmen tauschen sich mit den Cyberbehörden ihrer Länder aus.

Denn einer Hackergruppe, die sich Fxmsp nennt, gelang es bereits im März dieses Jahres, ins Netz der Gebeutelten einzudringen, wie das IT-Portal BleepingComputer unlängst berichtete.

Damit gelangt womöglich unschätzbar wichtiger Quellcode, der auch hierzulande einen Großteil der kritischen Infrastrukturen schützt, in die Hände der gut betuchten Organisierten Kriminalität. Denn die von Fxmsp geforderten Summen liegen im Bereich von 250.000 bis eine Million US-Dollar, wenig Geld für Organisationen, die allein mit einer Bootsladung Kokain eine halbe Milliarde Dollar und mehr erwirtschaften. Den Code kaufen, um am Ende die Strafverfolger zu überwachen – was bislang hollywoodreif war, ist seit Mai 2019 Realität.

Große Zahl der Angriffe kommen aus den USA. Entscheidend für die potentiellen Käufer ist nämlich nicht der Code per se. Denn Hacker können, freilich illegal, mit Hilfe von ehemaligen NSA-Werkzeugen wie GHIDRA und anderen Tools ohnehin jene Teile des Codes sichtbar machen, die nicht verschlüsselt sind. Entscheidend für zahlungswillige Cyberkriminelle ist vielmehr der Eintrittsweg in die Heiligtümer von Symantec und Trend Micro oder McAfee – und die Erkenntnis, dass Fxmsp offenbar in der Lage ist, diesen Weg zu gehen. Mitunter auch als Auftragsarbeit.

Alles neu macht der Mai

Der Fxmsp-Angriff ist für sich allein betrachtet ein Desaster, doch zur Kernschmelze der Cybersicherheit tragen mehrere Faktoren und weitere aufgeflogene Cyberattacken bei.

So musste der deutsche Ableger des US-amerikanischen Spezialisten CITRIX zugeben, sechs Monate lang nicht den blassesten Schimmer davon gehabt zu haben, überhaupt angegriffen worden zu sein. Dass sich Angreifer ein halbes Jahr lang vollkommen unbemerkt im Firmennetzwerk bewegen und ganz nebenbei personengebundene Kundendaten absaugten, zeigt vor allem eins: Die Republik steht vor einem digitalen Trümmerhaufen.

Die jetzigen Cyberattacken betreffen praktisch alle IT-Strukturen des Westens, vor allem innerhalb Deutschlands.

Für die globalen Black-Hat-Angreifer sind das gute Nachrichten, scheint der letzte Damm doch gebrochen zu sein. Denn nahezu unbemerkt von der Öffentlichkeit – und nicht einmal von Edward Snowden publik preisgegeben –, basierte die Cyberabwehr vor allem auf einem elementaren Gedanken: Nicht der Schutz durch Software allein, sondern erst die "Kooperation" zwischen Prozessor und Software sollte Computer und Anlagen schützen – geheime Angriffsflächen auf den Prozessoren wiederum würden, so der ursprüngliche Gedanke, im Notfall eigene Cyberangriffe erleichtern.

Die US-amerikanische Dominanz sowohl auf dem Gebiet der Hardware als auch der Software schien auch die Dominanz der Cyberabwehr zu gewährleisten. Dass diese auf Prozessorebene aller Wahrscheinlichkeit von Beginn an konzipierten Eintrittspforten aufflogen, hat vor allem eine beunruhigende Komponente: Die NSA selbst scheint ihre Cyberwaffen und Dienstgeheimnisse nicht mehr unter Kontrolle halten zu können.

Insgesamt sollen 21 Millionen Passwörter vom Datenklau betroffen sein.
Mehr lesen:Größte jemals gestohlene Sammlung von Zugangsdaten im Netz aufgetaucht
Denn auch WannaCry und NotPetya, die 2017 die Welt im Atem hielten, sind eigentlich Abkömmlinge aus dem technisch betrachtet durchaus brillanten NSA-Repertoire – und gelten als erstes Indiz dafür, dass die US-Cyberabwehr auch ganz ohne Edward Snowdens Enthüllungen massiver wackelt denn je.

Die üblichen Verdächtigen – Cui bono?

Dass ausländische Cyberdienste aus Russland, China oder dem Iran technisch in der Lage sind, sogenannte APT-Angriffe (Advanced Persistent Threat) durchzuführen, ist altbekannt. Doch die jetzige Welle dürfte ihnen ebenso ungelegen kommen wie dem Westen. Denn anders als die organisierte Cyberkriminalität verfolgen ausländische Cyber-Nachrichtendienste in erster Linie die leise und unauffällige Übernahme von kritischen Infrastrukturen.

Auf diese Weise lassen sich Unternehmen und staatliche Einrichtungen ausspionieren oder, sofern es zu einem massiven Konflikt käme, auch mal lahmlegen. Nichts anderes betreiben auf der anderen Seite die NSA und ihre fachlich nicht minder bewanderten Cyberkrieger des britischen Government Communications Headquarters (GCHQ). Gerade für deutsche Unternehmen stellt sich ob solcher Konstellationen nicht mehr die Frage, ob sie gehackt werden wollen, sondern von wem.

Gleichwohl werden immer wieder die gleichen Muster bedient. So werden Unternehmen wie Kaspersky und Huawei im Westen auf Druck der USA argwöhnisch beäugt, obwohl sie wesentlich zur globalen Cyberabwehr und -kommunikation beitragen.

Anti Forensik des Gegenspielers Spuren

Martin Wundram

Digitale Spuren vermeiden, verwischen und falsche Fährten legen

Wie wir nun wissen, ist IT-Forensik ein Teilgebiet der Forensik und nicht spannender oder weniger spannend als andere Bereiche der Forensik. Zu erleben sind Situationen, wo kleine Probleme enorme Auswirkungen zur Folge haben.

Ein Beispiel aus der Berichterstattung mit 45 Tatorten:

IT Forensik als Teilgebiet der Forensik stellt nicht anderes als eine Recherche dar

Wir verwenden Begriffe Computer Forensik, digitale Forensik, mobile Forensik und aus dem Englischen: Computer Forensics, in denen das Ziel ist, verdächtige oder nur relevante Vorgänge aufzuklären und Sicherheitsvorfälle zu untersuchen. Eine Verwendung der erlangten Erkenntnisse vor Gericht ist nicht immer notwendig, wird aber dennoch oft angestrebt und durchgesetzt.

Es geht dabei immer um Klärung der W-Fragen. Was ist Wo und Wie geschehen und Wer hat Wann, Was, Warum gemacht. Dies unterliegt einem Prozess der da heißt, Identifizierung, Sicherstellung, Analyse, Auswertung des Datenmaterials. Also ein geplantes Vorgehen, damit nicht dieses Tupferstäbchen-Problem eintritt.

Herausforderung

Ein IT Forensiker steht vor enormen Herausforderungen, denn die Beweise, die man sicherstellt, dürfen unter keinen Umständen oder so wenig wie möglich verändert werden.

An einem Computer stellt diese Erwartung ein Problem. Im Arbeitsspeicher ändern sich ständig relevante Informationen. So werden allein durch das Einschalten des Rechners vorhandene Beweise vernichtet. Dies können belastende aber auch entlastende Beweise sein, die nicht gefunden und ausgewertet werden können. Das gilt für die gesamte Beweismittelkette. Nicht nur die Sicherstellung, der Ausbau einer Festplatte und die Analyse sind wichtig, es sind die Schritte danach. Wenn man eine Datei entpackt, analysiert und weiteren anderen Analyseschritten unterzieht und hier ein Fehler geschieht und somit die Beweismittelkette unterbrochen wird, kann das Ergebnis dieser Auswertung in eine falsche Richtung laufen. Das führt dazu, dass jemand zu Unrecht beschuldigt oder zu Unrecht entlastet wird. Hinzu kommt, dass alle Aktionen dokumentiert und nachvollziehbar gemacht werden, sodass als IT Forensiker aber auch als Betroffener der Gegenseite jederzeit eine Kontrolle möglich gemacht wird.

Worin liegt jedoch die Schwierigkeit eines IT Forensikers?

Ein Forensiker kann auf Anhieb nicht alles. Und er muss sich bewusst darüber sein, dass die Gegenseite topfit ist in einem Teilgebiet oder mehreren Teilgebieten. Als IT Forensiker ist man als Allrounder einem Spezialisten gegenübergestellt. Das führt dazu, dass man als Forensiker Dinge, welche sehr gut versteckt sind, nicht auf Anhieb findet und demzufolge die Gefahr besteht, nicht gefunden zu werden und somit auch nicht untersucht werden. Geschuldet ist das aber auch durch Zeitdruck und Eile, denn eigentlich benötigt man dafür viel intensive Zeit und Gründlichkeit.Ein korrektes Arbeiten ist unablässig, wichtig und entscheidend. Als IT Forensiker ist man angewiesen auf spezielle IT Forensik Software, welche riesige Datenbestände auswertet. So kommen sehr schnell mehrere Terrabyte Datenbestände zusammen.

Jetzt stellen wir uns vor, man müsse mehrere Computersysteme und deren riesigen Datenbestände händisch auswerten, was so gut wie unmöglich ist. Hier müssen Automatisierungsprogramme unterstützend eingreifen. Wenn diese jedoch nicht korrekt angewendet werden und falsche Ergebnisse liefern, hat man ein ernstzunehmendes Problem. So sollte man auch zwei verschiedene Forensik Programme benutzen um evtl. Fehler im Programm zu erkennen. Auch darf das Auswertesystem nicht mit dem Internet verbunden sein. Das wenn man mit Schad-Code oder Mail-Mare arbeitet diese nicht den Auswerterechner befallen und sich im Internet verbreiten. So müssen schließlich Schlussfolgerungen auf Fakten basieren und keine Spekulationen zulassen, um dann daraus unzulässige Schlüssen zu ziehen.

Der Gegenspieler

Hier kommt Anti Forensik ins Spiel. Was wäre denn die eleganteste Lösung? Man müsse nur die Forensiker aus dem Verkehr ziehen. Keine Forensiker, somit keine Forensik mehr, aber das lässt sich nur sehr schwer realisieren. Jetzt versetzen wir uns einmal in die Lage eines Hackers und dann müssen wir uns auch Gedanken machen, dass mein Computer irgendwann beschlagnahmt wird und dann wäre es zu spät Vorkehrungen zu treffen. Es muss geplant und vorbereitet werden, um keine oder so wenig wie nur möglich Spuren zu hinterlassen. z. B.: der Häcker, der seine Einbruchsspuren verwischen muss oder der Downloader, der die Downloadspuren verwischt, weil man irgendwann illegales heruntergeladen hat. Registry Cleaner und Disk wipe sind bekannt und nicht neu. Was jedoch neu ist, sind Angriffe gegen Werkzeuge der IT Forensik, die dann aktiv werden, wenn der Forensiker mit seinem Tool angeschlagen hat. Es ist fast das gleiche, wie wenn man die Tatwaffe verschwinden lässt, die Fingerabdrücke seines geliebten Nachbarn verteilt oder eine Auswertung zu verwirren, indem man andere Munition am Tatort verstreut. Das geschieht so auch in der IT Forensik. Um eine Auswertung zu verhindern, den Datenträger zu überschreiben, die Registry überschreiben und natürlich auch die Klassiker Steganografie oder die Verschlüsselung des kompletten Datenträgers. Oder man trifft Maßnahmen, die eine Auswertung erheblich verzögern. Man kann Spuren von einer Forensik Software hinterlassen, um dann behaupten zu können, der Auswerter hat meinen Datenträger manipuliert und direkt darauf geschrieben und unbrauchbar gemacht.

Buffet Overflow Techniken können Auswertungen verzögern oder komplett verhindern und letztlich verhindert es die Hashes von Dateien zu verändern. Ein IT Forensiker arbeitet mit Hash Datenbanken und wenn man dann 15000 Bilder hat und es wird nur ein Bit verändert, dann verändert sich auch die Prüfsumme und die automatisierte forensische Untersuchung ist dann vergebens.