Die Vault-7-Reihe von WikiLeaks liefert weiterhin Überraschungen. Im April berichteten wir über Weeping Angel, eine Spyware zum Hacken von Samsung-Smart-TVs. Danach tauchte das Tool Athena auf, das die vollständige Kontrolle über ein System erlangen und sich dort installieren soll. Jetzt ist das Paket Brutal Kangaroo an der Reihe, dessen Hauptziel die Infektion isolierter interner Netzwerke mit Air Gaps über USB-Sticks ist. Seine Funktionsweise teilt gewisse Aspekte mit Stuxnet, was uns angesichts der Snowden-Enthüllungen über die NSA und Israel nicht wirklich überrascht.
Die Welt hat auf schmerzhafte Weise die Macht der „Spielzeuge“ kennengelernt, die die Geheimdienste in ihren Systemen horten, nachdem ein paar Exploits geleakt wurden und WannaCry massiv ausgerollt wurde. Unnötig zu erwähnen, dass von den Verantwortlichen kein Funken Reue kommt, und bei jedem Treffen denken sie nur daran, ihre Aktionen zu vertiefen, mit stärkerer Regulierung im Internet und neuen Angriffen auf Verschlüsselungsplattformen. Information ist unsere erste Verteidigungslinie – und hier greift WikiLeaks ein. Das Portal trägt seine Quote an Skandalen auf den Schultern (angefangen bei seiner seltsamen Beziehung zur russischen Regierung und gewissen übertriebenen Ankündigungen), aber die Vault-7-Reihe macht weiterhin Lärm. Was steht als Nächstes auf der Liste? Der Name ist Brutal Kangaroo.
Was ist Brutal Kangaroo?
Den verfügbaren Informationen zufolge (durchschnittlich 150 Seiten) ist Brutal Kangaroo ein CIA-Paket mit vier Tools: Drifting Deadline (Infektion von USB-Sticks und Terminals), Shattered Assurance (automatische Tools zur Kontrolle der USB-Stick-Infektion), Broken Promise (Prozessor für gesammelte Informationen) und Shadow (Persistenz). Brutal Kangaroo nutzt verschiedene Vektoren, um Terminals zu infizieren, sogar wenn der Benutzer keine Datei geöffnet hat. Einige der kursierenden Namen sind EZCheese, Lachesis und RiverJack. Microsoft bestätigte, dass es diese drei Elemente mit Patches blockiert hat, teilte jedoch keine genauen Daten mit (der Hotfix für EZCheese stammt aus 2015). Brutal Kangaroo muss auf einem „Primärhost“ installiert werden, der die USB-Sticks empfängt, die dann im isolierten Netzwerk verwendet werden. Sobald der infizierte Stick an eines der Terminals angeschlossen wird, versucht die Malware, sich auf den Rest des Netzwerks auszubreiten und ein „verdecktes Netzwerk“ zu erstellen.
Der Text deutet darauf hin, dass der Einstiegspunkt für Brutal Kangaroo (der „Primärhost“) eine manuelle Infektion erfordert, was physischen Zugriff auf die Hardware bedeutet (wahrscheinlich mit einem anderen USB-Stick) und eine reduzierte Effektivität. Aber wenn Microsoft bereits die Korrekturen veröffentlicht hat, die seine Funktion blockieren, bleibt die Frage: „Was benutzen sie jetzt?“
