Guymon

Späh-Software für Behörden

Spiegel Online berichtet über weitere Behörden Trojaner:

Am einfachsten ist die Sache, wenn der “Agent” physischen Zugang zu dem Rechner der Zielperson hat. Dann reicht es, einen USB-Stick einzustecken (“FinFly USB”). Doch was, wenn das nicht geht? Auch dafür bietet das Unternehmen Lösungen - sogar für mobile Endgeräte. Im Werbevideo zu “FinSpy Mobile” etwa, das als kurzer Animationsfilm gestaltet und mit elektronischer Musik unterlegt ist, bekommt die Zielperson eine gefälschte Nachricht mit dem eingeblendeten Text: “Lieber Blackberry-Nutzer, bitte bringen Sie ihr Blackberry auf den neuesten Stand, indem sie auf den angezeigten Link gehen”. Wenn der Nutzer das tut, sei “das Zielsystem mit der FinSpy-Software infiziert”, heißt es im Video - und das “Hauptquartier” habe “vollen Zugang zum Zieltelefon”.

Ganz ähnlich funktioniert die Infektion ausweislich der eigenen Werbematerialien auch mit “FinFly ISP” - im Werbevideo erhält die Zielperson “ein gefälschtes iTunes Update”. Wird das Update angeklickt und heruntergeladen, habe das Hauptquartier vollen Zugriff auf das Zielsystem - so die Hersteller-Werbung.

Blackberry-Hersteller Research in Motion reagierte nicht auf die Frage, was das Unternehmen von den gefälschten Update-Nachrichten hält.

Bundestag will den Bundestrojaner behalten

Wie man bei heise lesen konnte will der Bundestag den Bundestrojaner behalten.

Der Bundestag hat am Freitag mit den Stimmen von Schwarz-Gelb und der SPD einen Antrag (PDF-Datei) der Linken abgelehnt, mit dem die Befugnis des Bundeskriminalamts (BKA) zu heimlichen Online-Durchsuchungen aufgehoben werden sollte.

Einer der größeren Lacher, wenn man bedenkt wofür die analysierten Trojaner eingesetzt wurden, ist die Behauptung:

Die Sicherheitsbehörden gingen sehr sorgfältig mit ihrer Kompetenz um, betonte Gabriele Fograscher von der SPD. Die große Koalition habe damit eine “Lücke in unserer Sicherheitsarchitektur geschlossen”.

Bewusste Verletzung der Grundrechte

Thomas Stadler über den “Bundestrojaner”:

Die bayerischen Behörden haben also den Beschluss des Landgerichts Landshut bewusst ignoriert und in voller Kenntnis der Rechts- und Verfassungswidrigkeit den Bayerntrojaner im Jahre 2011 weiterhin zum Einsatz gebracht und zwar in mindestens 12 Fällen. (…) Diese bewusste Verletzung der Grundrechte ist von einer neuen Qualität und in dieser Form neu. Es war also keineswegs übertrieben, als Heribert Prantl in der SZ unlängst von einer neuen Form der Staatskriminalität sprach.

Der Staatstrojaner in 3½ Minuten

Ein Video Versuch, anschaulich zu machen, was der CCC herausgefunden hat und warum das brisant ist.

Der CCC analysiert Staatstrojaner

Der CCC veröffentlicht eine Analyse von Binärdateien behördlicher Schadsoftware, die offenbar für eine “Quellen-TKÜ” benutzt wurde:

Die Analyse des Behörden-Trojaners weist im als “Quellen-TKÜ” getarnten “Bundestrojaner light” bereitgestellte Funktionen nach, die über das Abhören von Kommunikation weit hinausgehen und die expliziten Vorgaben des Verfassungsgerichtes verletzen. So kann der Trojaner über das Netz weitere Programme nachladen und ferngesteuert zur Ausführung bringen. Eine Erweiterbarkeit auf die volle Funktionalität des Bundestrojaners – also das Durchsuchen, Schreiben, Lesen sowie Manipulieren von Dateien – ist von Anfang an vorgesehen. Sogar ein digitaler großer Lausch- und Spähangriff ist möglich, indem ferngesteuert auf das Mikrophon, die Kamera und die Tastatur des Computers zugegriffen wird.

Interessant auch dieses Detail:

Zur Tarnung der Steuerzentrale werden die ausgeleiteten Daten und Kommandos obendrein über einen in den USA angemieteten Server umgelenkt. Die Steuerung der Computerwanze findet also jenseits des Geltungsbereiches des deutschen Rechts statt. Durch die fehlende Kommando-Authentifizierung und die inkompetente Verschlüsselung – der Schlüssel ist in allen dem CCC vorliegenden Staatstrojaner-Varianten gleich – stellt dies ein unkalkulierbares Sicherheitsrisiko dar. Außerdem ist fraglich, wie ein Bürger sein Grundrecht auf wirksamen Rechtsbehelf ausüben kann, sollten die Daten im Ausland verlorengehen.