gamescom 2013: Interview mit Kaspersky Labs
Auf der gamescom hatten wir die Chance ein Interview mit Christian Funk, Senior Virus Analyst von Kaspersky Labs, zu führen. Was dieser über Winnti und die Gefahr, die von dieser Gruppe von Hackern zu sagen hat, lest ihr hier.
SF: Herr Funk, ihr Vortrag trug den Namen „Winnti - Gaming Copanies under Attack“. Könnten Sie kurz, in 2-3 Sätzen, zusammenfassen, was Winnti wirklich ist, und wie deren Attacken von statten gingen?
CF: Winnti ist eine große, globale E-Spionage Kampagne, die es auf Spielefirmen abgesehen hat. Eingesetzt wurden dabei hoch entwickelte Trojaner, die einen Treiber in sich trugen mit digitalem Zertifikat. Wir haben 100 verschiedene Trojaner gefunden. Die Angriffe gehen auf jeden Fall bis mindestens 2011 zurück, und es wurden international über 34 Spielefirmen Opfer dieser Angriffe.
SF: Wenn die Angriffe über Zertifikate vonstattengehen, geht das ja über die Spiele. Gibt es dann überhaupt eine Möglichkeit, sich als Privatperson irgendwie zu schützen? Wenn die Zertifikate von Videospielen sozusagen kopiert werden, um den Trojaner auf den PC zu spielen, kann man im Prinzip ja nicht viel machen, oder?
CF: Aktuelle und effektive Antivirensoftwares bieten mittlerweile sehr viele proaktive Schutzmaßnahmen, das heißt der Retourpaketansatz existiert zwar noch, sozusagen als „Backbone“, dennoch gibt es mittlerweile viele heuristische Mittel und Verhaltensanalysen. Wir haben mittlerweile über 100 Millionen schädliche Dateien in unserer Connection, das heißt wir haben daraus auch sehr viele Verhaltensmuster von Schadsoftware herausziehen können, und können diese Muster eben auch auf unbekannte Software anwenden, um diese zu klassifizieren.
SF: Das hieße also, wenn ein Spiel ein Update erfordert und die Spieler dafür einem Zertifikat zustimmen müssen, welches aber infiziert ist, würde eine aktuelle Antivirensoftware sagen: „Moment, da stimmt etwas nicht!“
CF: Völlig richtig, beim ersten Anfassen der Datei wird schon analysiert, ob die Datei gut- oder bösartig ist, und auch bei der Ausführung selbst kann eingegriffen werden. Man muss aber auch dazu sagen, dass die Gültigkeit einmal kompromittierte Sicherheitszertifikate, digitale Zertifikate, auch zurückwirkend über Betriebssystem-Updates bzw. auch Browser-Updates widerlegt werden können. Zum anderen muss man aber ganz deutlich sagen, dass die Auslieferung von Schadsoftware bei einem Spiele-Update bisher ein Einzelfall war, und dass dieser Trojaner aus Versehen ausgeliefert wurde, sodass keine Starts dieser Schadsoftware auf den Kundenrechnern beobachtet werden konnten.
SF: Aber alleine, dass es möglich ist, ist ja schon erschreckend. Vielleicht kommen wir noch einmal kurz auf solche Gefahren bei Handys und Smartphones zu sprechen. Wie sieht es da aus?
CF: Es gibt ja die offiziellen Appstores, aber es gibt ja auch Drittanbieterstores, vor allem im Android-Bereich. Dort sind die Sicherheitsprüfungen von neu hinzugefügten Apps deutlich lachser, teilweise wird auch gar nicht geprüft, oder nur schlecht geprüft. Dementsprechend kommen hier trojanisierte Versionen von legitimen Apps auf den Markt, und diese werden als Vehikel missbraucht, um den Schadcode zu transportieren, und gleichzeitig wird auch die Reputation einer App missbraucht. Diese Angriffe gibt es dennoch, und deren Anstieg ist ziemlich explosiv, und es ist meines Erachtens nach eines der heißesten Eisen im IT-Sicherheitsbereich. Wir haben im zweiten Quartal knapp 30.000 Schadcodes gefunden, die alle mehrfach in Apps verbraten worden sind, das heißt, ein Schadcode kommt nicht nur in einer infizierten App vor, sondern werden 6-fach oder 100-fach verbraten. Zum Vergleich, wir haben im gesamten Jahr 2012 ungefähr 40.000 Codes gefunden, und jetzt in einem Quartal 2013 knapp 30.000, um die Größenordnung klarzumachen. Aber man muss dem auch gegenüberstellen, ich will auf keinen Fall Panikmache betreiben, im PC-Bereich sind es allein pro Tag knapp 200.000.
SF: Da sie gerade gesagt haben, dass dies das heiße Eisen im Moment ist, komme ich doch jetzt zu dem, was ich mich als alter Consolero gefragt habe. Wenn im November die neuen Konsolen kommen, sprich die PlayStation 4 und die Xbox One, und diese als Multimedia-Genies angepriesen werden, wie sehen Sie da die Möglichkeiten, dass auf diese Konsolen Schadsoftware gespielt werden und benutzt werden kann, um auf die Daten der Spieler, und im Endeffekt auch auf die der Entwickler, zugreifen zu können?
CF: Das habe ich mich in der Vergangenheit schon oft genug gefragt, vor allem die Xbox 360 und die PS3 gibt es ja bereits und waren auch schon auf Multimedia ausgelegt. Bei der PS3 war es 2011 gelungen, den Sicherheitsmechanismus auszuhebeln, aber bisher wurde eigentlich keine Schadsoftware „in the wild“ beobachtet, es gab auch hier Machbarkeitsstudien. Es gab 2 Trojaner für den Nintendo DS, glaube ich war das, die nannten wir „Brick“, die haben also das Gerät unbenutzbar gemacht. Das ist ein Verhalten von Schadsoftware, das wir aus den Achtzigern und Neunzigern kennen. Das heißt, die haben das Gerät unbrauchbar gemacht, und damit dann Geld verdient. Und genau das muss gegeben sein, die Möglichkeit Geld zu verdienen. Gleichzeitig muss das Gerät angreifbar sein, in großen Massen, und die Leute müssen die Geräte auch so nutzen, dass sie ihre sensiblen Daten auch dort eingeben. Diese Vorbedingungen müssen da sein. Was dann sein wird, werden wir sehen. Allerdings waren Attacken in der Vergangenheit nur Einzelfälle.
SF: Dann danke, Herr Funk, für das Interview, und noch eine schöne Messe.
CF: Danke, das wünsche ich Ihnen auch.