Das hat eine gemeinsame Anylse von Citizen Lab an der Universität Toronto und Kaspersky Lab ergeben.
Zu detektierende Malware
Die Lösung, die unter anderem auch gegen Menschenrechtler und Journalisten eingesetzt wird, kann demnach nicht nur Gespräche und SMS abfangen, sondern beispielsweise auch Skype und WhatsApp überwachen sowie die Smartphone-Kameras nutzen. Um auf iPhones zu landen, kann RCS heimliche Jailbreaks durchführen.
Die vielen Möglichkeiten, die das HackingTeam-Überwachungstool bietet, geben Grund zur Sorge. «Jedes Exekutivorgan rund um die Welt wird das sehr interessant finden», so Morgan Marquis-Boire, Senior Researcher and Technical Advisor am Citizen Lab, im Rahmen der Kaspersky- Veranstaltung «Going Underground: Cyber Self-Defence Course» gegenüber pressetext.
RCS kann somit viel mehr als herkömmliche Telefonabhöraktionen. Für betroffene Nutzer wie beispielsweise Dissidenten ist die auch «Galileo» genannte Software hingegen unerwünscht. «Es ist Malware und muss detektiert werden», betont Sergey Golovanov, Senior Security Researcher von Kaspersky Lab.
Überwachung auf allen Geräten
RCS gibt es neben Windows und OS X auch für diverse andere mobile Betriebssysteme. Golovanov zufolge konnte Kaspersky Varianten für Android, BlackBerry, iOS und Windows Phone nachweisen. Um die Überwachungssoftware auf einem Gerät einzuschleusen, kommen im Prinzip die gleichen Tricks zum Einsatz wie bei cyberkrimineller Malware, von Social Engineering bis hin zum Ausnutzen von Sicherheitslücken.
Zwar kann RCS nur entsperrte iPhones befallen, doch die Windows- und Mac-Software schafft Abhilfe für dieses Problem. Wird ein iOS-Gerät mit dem infizierten Computer verbunden, kann der Überwachende unbemerkt aus der Ferne den nötigen Jailbreak durchführen lassen. Wie Analysen der Android- und iOS-Varianten ergeben haben, bietet RCS eine Palette von Überwachungsmöglichkeiten, die weit über Ortung und Abhören von Telefonaten hinausgeht.
Die Spitzel können beispielsweise auf Kalendereinträge zugreifen, SMS oder E-Mails lesen und Nachrichten über Viber, WhatsApp und Skype abfangen. Die Android-Version lauscht auch auf Facebook dank nativem Support problemlos mit, beide Varianten können zudem die Kamera nutzen. Standardmässig werden Fotos aber nur gemacht, wenn das Gerät am Strom hängt und WLAN-Zugang hat.
Die fragwürdige Spionage-Software kapert Kameras und knackt iPhones.(Symbolbild) /
Dadurch soll die Malware eine mögliche Entdeckung vermeiden.
Fragwürdige Ziele im Blickpunkt
HackingTeam verkauft seine Software nach eigenen Angaben nur an Regierungen und öffentliche Einrichtungen. Man prüfe Kunden, um sicherzustellen, dass es keine Menschenrechtsverletzungen gibt. Daran meldet das Citizen Lab aber Zweifel an. Zwar nutzt RCS ein System aus Umleitungen ähnlich dem Tor Project, um die Identität der Bespitzelnden zu verschleiern.
«Sie sind darin aber nicht so gut wie Tor», so Marquis-Boire. Analysen seines Teams zeigen, dass offenbar ein RCS-Android-Trojaner gegen Regimekritiker in der saudi-arabischen Provinz Katif eingesetzt wurde. Auch andere Länder mit unbefriedigender Menschenrechtssituation scheinen RCS zu nutzen, beispielsweise Äthiopien, Kasachstan sowie der Sudan.
Kaspersky Lab indes hat bei seinen Analysen über 320 RCS-Kommandoserver in mehr als 40 Ländern entdeckt. Besonders viele Server gibt es in den USA, Kasachstan, Ecuador, Grossbritannien und Kanada, aber auch in Deutschland stehen Kommandoserver. Das allein beweist zwar nicht, dass diese Länder auch hinter den Spionageangriffen stehen. Allerdings werden Golovanov zufolge RCS-Anwender wohl bevorzugt Server in Regionen einsetzen, wo das Risiko grenzübergreifender rechtlicher Probleme oder gar einer Server-Beschlagnahmung gering ist.
Pauschalverurteilung in Diskussion
Marquis-Boire hat es im Rahmen des Londoner Events vermieden, eine Pauschalverurteilung des RCS-Einsatzes vorzunehmen. Er verwies darauf, dass es im Allgemeininteresse wäre, gefährliche Kriminelle oder Terroristen zu erwischen. Problematisch ist aber, dass die HackingTeam-Lösung beispielsweise auch gegen Journalisten eingesetzt wird und fraglich scheint, ob ihre Nutzung auch legal ist.
«Wir müssen wirklich entscheiden, mit welcher Nutzung unter welchen Umständen wir leben können», unterstreicht der Experte. Ob der Einsatz mass- und verantwortungsvoll erfolgt, ist aber schwer zu beurteilen, solange Behörden darüber keine Rechenschaft ablegen.
