Wikileaks macht 3 CIA-Hackingtools für Mac OS X und Linux öffentlich

Wikileaks hat die Veröffentlichung von mutmaßlichen Geheimdokumenten der Central Intelligence Agency fortgesetzt. Seit Ende vergangener Woche sind Details über weitere Hackingtools für MacOS und Linux erhältlich. Demnach verfügt der US-Geheimdienst über ein SeaPea genanntes Rootkit für Mac OS X 10.6 Snow Leopard und Mac OS X 10.7 Lion.

Unklar ist, ob das Rootkit auch für neuere Versionen von Apples Desktop-Betriebssystem geeignet ist. Das Dokument selbst, das zuletzt angeblich im Juli 2011 bearbeitet wurde, bezieht sich auf die Version 4.0 von SeaPea. Die CIA könnte eine neuere Version entwickelt haben, die auch unter Mac OS X 10.8 Mountain Lion, 10.9 Mavericks, 10.10 Yosemite, 10.11 El Capitan, 10.12 Sierra oder gar der kommenden Version 10.13 High Sierra läuft.

Der Beschreibung zufolge kann sich SeaPea verstecken und weitere Hacking-Tools starten. Zudem soll das Rootkit in der Lage sein, Dateien oder Verzeichnisse, Socket-Verbindungen und auch Systemprozesse zu verstecken. Die Installation erfolgt über ein Python-Skript, mit dem das Installations- und Startverzeichnis festgelegt werden. Zudem wird Rootzugriff benötigt – Mitarbeiter des Geheimdiensts müssen also bereits einen zu infizierenden Mac kontrollieren. Ob dies aus der Ferne geschieht oder über einen physischen Zugriff, lässt das Dokument offen.

Das Rootkit verbleibt demnach auf einem infizierten System, bis die Festplatte neu formatiert wurde. Auch ein Upgrade auf eine neue OS-Version soll das Rootkit unbrauchbar machen. Darüber hinaus soll es in der Lage sein, sich selbst zu löschen, falls es feststellt, dass es nicht mehr korrekt funktioniert. Die CIA weist in dem Dokument darauf hin, dass das Rootkit entdeckt werden kann, falls der Nutzer mit einem anderen Betriebssystem als Mac OS X auf die Festplatte zugreift. In dem Fall sei SeaPea nicht in der Lage, seine Dateien und Verzeichnisse zu verstecken.

Aus Juli 2015 stammt eine Bedienungsanleitung für ein Achilles genanntes Werkzeug, mit dessen Hilfe ein OS-X-Disk-Image (Dateiendung .dmg) mit einem Trojaner infiziert werden kann. Es wurde unter Mac OS X 10.8 Snow Leopard sowie mit Core-Duo-Prozessoren von Intel getestet.

DMG-Dateien werden unter Mac OS X zur Installation von Anwendungen benutzt. Eine solche infizierte Installationsdatei soll sich laut CIA genauso verhalten wie die ursprüngliche DMG-Datei. Beim ersten Start der legitimen Anwendungen sollen jedoch alle ausführbaren Dateien des Trojaners gestartet werden. Danach soll der Trojaner seine Spuren aus der infizierten Installationsdatei entfernen, sodass kein Unterschied zur legitimen Anwendung festgestellt werden kann. Allerdings können zumindest sehr versierte Nutzer einer App unter Umständen erkennen, das der Installer manipuliert wurde: Sollte normalerweise ein Lizenzvertrag während der Installation angezeigt werden, erscheint dieser nicht beim Start des manipulierten Installers.

Unter dem Namen Aeris führte die CIA indes eine in C geschriebene Malware für verschiedene Linux-Betriebssysteme in ihrem Arsenal. Sie war für Debian Linux 7 (32- und 64-Bit sowie ARM), Red Hat Enterprise Linux 6 (32- und 64-Bit), Solaris 11 (32-Bit x86 und Sparc), FreeBSD 8 (32- und 64-Bit) sowie CentOS 5.3 und 5.7 optimiert.

Aeris erlaubt es unter anderem, ausgehende E-Mails abzufangen und Dateien auszulesen. Die Malware kommuniziert zudem nur verschlüsselt mit Mitarbeitern des Geheimdiensts. Darüber hinaus soll Aeris bei der Entwicklung von Schadsoftware für spezifische Ziele und Zwecke zum Einsatz kommen. Auch hier ist unklar, ob auch neuere OS-Versionen betroffen sind und ob das Tool überhaupt noch von der CIA aktiv genutzt wird.

ANZEIGE

So lassen sich Risiken bei der Planung eines SAP S/4HANA-Projektes vermeiden

Ziel dieses Ratgebers ist es, SAP-Nutzern, die sich mit SAP S/4HANA auseinandersetzen, Denkanstöße zu liefern, wie sie Projektrisiken bei der Planung Ihres SAP S/4HANA-Projektes vermeiden können.

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Europol zerschlägt Infrastruktur von Cyberkriminellen

Polizeibehörden aus verschiedenen Ländern unter Federführung der Polizei Hannover ist es in einer koordinierten Aktion…

2 Minuten ago

Verteiltes SQL: Hochverfügbarkeit für Unternehmen

Verteiltes SQL ist die erste Wahl, wenn Unternehmen hochverfügbare, elastische und leicht skalierbare Datenbanken mit…

17 Minuten ago

Allianz für weiteres Wachstum: TIMETOACT GROUP erwirbt Transformationsexperten PKS

Führender Anbieter von IT-Dienstleistungen für Mittelständler, Konzerne und öffentliche Einrichtungen im DACH-Raum erwirbt Software-Transformationsexperten.

3 Stunden ago

CrowdStrike: Verbreitung von Linux-Malware nimmt zu

Das Plus liegt im Vergleich zu 2020 bei rund 35 Prozent. Am häufigsten kommen die…

19 Stunden ago

Auch moderne Smartphones von Sicherheitslücken in 2G-Netzwerken betroffen

Google bietet nun in Android 12 grundsätzlich die Option, 2G-Netze nicht zu nutzen. Die EFF…

20 Stunden ago

Microsoft: Gegen Ukraine eingesetzte Malware ist keine Ransomware

Sie ersetzt den Master Boot Record durch eine Lösegeldforderung. Die Malware besitzt jedoch keine Funktion,…

2 Tagen ago