Ghostnet bedroht Regierungen: Webcam und Mikro als Wanze

Zunächst galt es festzustellen, wie der Trojaner auf die Rechner gelangen konnte. Die IWM-Wissenschaftler fanden schließlich heraus, dass das Öffnen eines Dateianhangs, der Schadsoftware enthielt, der Auslöser für die Infizierung war. Welches Dropper-Programm hierfür verwendet wurde, ist der Redaktion allerdings unbekannt. Aber das spielt eigentlich auch gar keine Rolle, da das Ziel darin bestand, GhOst RAT erfolgreich auf dem anvisierten Rechner zu installieren.

Im Untersuchungsbericht heißt es dazu: „Nur 11 der 34 Antiviren-Programme von Virus Total erkannten die im Dokument enthaltene Schadsoftware. Angreifer verwenden zur Verschleierung ihrer Malware häufig ausführbare Packer, damit sie nicht von Antiviren-Programmen erkannt wird.“

Doch infizierte E-Mail-Anhänge sind eigentlich weithin als eine beliebte Angriffsmethode bekannt – man sollte meinen, dass davon auch die Tibetische Exilregierung hätte wissen müssen. Nun, das wusste man dort auch. Aber in diesem Fall waren die Angreifer sehr einfallsreich. Sie verwendeten seriös wirkende E-Mail-Adressen, und da die angehängten Dateien Bezeichnungen wie „Translation of Freedom Movement ID Book for Tibetans in Exile.doc“ trugen, ließen auch keinen Verdacht aufkommen. Das folgende Beispiel zeigt, wie echt die E-Mails aussahen: