Einführung in die Virologie mobiler Geräte

Einführung in die Virologie mobiler Geräte Alexander Gostev. Senior Virus Analyst September 2006 Im Juni 2006 sind genau zwei Jahre vergangen, seit Kaspersky Lab den ersten Virus für Mobilfunk gefunden hat. Heute wissen wir, dass er von einem Mitglied der bekannten internationalen Virenschreiber-Gruppe 29A programmiert wurde. Bekannt ist dieses Mitglied unter dem Pseudonym Vallez. Die Büchse der Pandora wurde geöffnet. Als Folge befinden sich gegenwärtig hunderte Trojaner und Viren, die Mobiletelefone angreifen, in den Archiven verschiedenerer Antiviren- Hersteller. Das kleine Bächlein neuer im Jahr 2004 erschienener Symbian-Arten, wandelte sich in einen wasserreichen Fluss und droht in Kürze zu einem reißenden Strom zu werden. Jede Woche verergänzen wir unsere Antiviren-Datenbanken mit Dutzenden von Trojanern, die in ihrem Namen das Präfix "SymbOS“ enthalten. Bedauerlicherweise begleitet dieser Prozess die bereits existierenden und stark wachsenden neue Epidemien mobiler Würmer, deren reales Ausmaß zurzeit schwer einschätzbar ist. Zuerst wurde der Virus Cabir entdeckt, anschließend wendeten sich immer mehr Betroffene an uns und wir wurden Zeugen von tatsächlichen Infektionen. Mittlerweile wurden bereits mehrere unsere Mitarbeiter in Moskau mit solchen Würmern konfrontiert. Mögliche Ursache für die schnelle Verbreitung der mobilen Würmer ist das geringere Computer-Wissen bei den Anwendern von Mobiltelefonen. Andererseits nehmen sogar erfahrene Handy-Benutzer die Virengefahr für mobile Geräte kaum wahr und sehen sie eher als Problem der Zukunft. Doch mobile Viren sind keine Phantasie. Sie existieren tatsächlich hier und jetzt. Jedesmal, wenn Sie die U-Bahn benutzen, ins Kino gehen oder von einem großen Flughafen irgendwohin fliegen, befindet sich Ihr Handy in unmittelbarer Gefahr. Uns steht sicher noch ein langer Weg bevor, bis die Handy-Nutzer die Sicherheit ihrer Geräte so ernst nehmen, wie es mittlerweile viele computernutzer tun. Der Anfang… Am 14. Juni 2004 erhielten wir unter der E-Mail-Adresse newvirus@kaspersky.com eine Nachricht von dem spanischen Virensammler „VirusBuster“, der einen engen Kontakt zu einigen Virenautoren hat. Als Anhang wurde eine Datei namens caribe.sis gesendet, die uns damals völlig unbekannt war. Bei schneller Dateianalyse wurde festgestellt, dass es sich dabei um eine Anwendung für das Betriebssystem Symbian handelt, die auch gleichzeitig ein Installer-Archiv mit weiteren Dateien enthielt. In der Regel arbeiten die Virenanalysten mit den für X86-Prozessoren geschriebenen Dateien. Die Dateien von caribe.sis waren aber Anwendungen für den in diversen Mikroanlagen (darunter auch in Handys) oft verwendeten ARM-Prozessor dar. Zwar war den Analysten die Programmiersprache dieses Prozessors nicht bekannt, doch sie stellten schnell fest, dass es sich um einen neuen Virus für Mobiltelefone handelt, der sich über Bluetooth verbreitet. Noch am selben Tag wurde der Wurm auf einem Nokia N-Gage unter Symbian OS vollständig getestet. Der Wurm ist vom Autor Vallez erstellt worden, der nach unseren Erkenntnissen in Frankreich wohnt und damals Mitglied der Virenautoren-Gruppe 29A war. Diese Gruppe erstellte neue Viren für nicht übliche Betriebssysteme und Anwendungen, um den Antiviren- Herstellern und anderen Virenschreibern neue mögliche Angriffsziele aufzuzeigen. Damals wurde die Erstellung eines Schadprogramms für Smartphones als neues Ziel definiert. Für die Wurmverbreitung wurde ebenfalls eine damals neue und noch ungewöhnliche Art gewählt. An die Verbreitung per Mail hatten wir uns schon gewohnt, doch Cabir nutzte das Bluetooth-Protokoll. Als Plattform wurde Symbian OS verwendet, das damals wie heute das führende Betriebssystem für Mobiltelefone war. Hauptsächlich ist die Führungsposition dieses Betriebssystems dadurch bedingt, dass Symbian in Nokia-Smartphones verwendet wird. Symbian und Nokia gelten zurzeit tatsächlich als Standard für Smartphones. Es wird noch einige Zeit vergehen, bis Windows Mobile seinen Konkurrenten von der führenden Marktposition verdrängt hat. Auf diese Weise wurde das „Gesetz vom Auftreten neuer Computerviren“ erneut demonstriert, das besagt, dass für die Erstellung eines Schadprogramms für ein beliebiges Betriebssystem oder eine beliebige Plattform drei Voraussetzungen notwendig sind: 1. Popularität des Betriebssystems Symbian war und ist das populärste Betriebssystem für Smartphones. Die Gesamtzahl der weltweiten Handybenutzer beträgt viele Millionen. Dazu der Autor von Cabir: “Symbian kann in Zukunft ein sehr weit verbreitetes Betriebssystem für Mobiltelefone werden. Es ist bereits heute sehr verbreitet und könnte es meiner Meinung nach noch mehr sein. (Microsoft versucht auch auf diesem Markt präsent zu sein).“ 2. Gut dokumentierte Entwicklungsumgebung Noch einmal der Autor von Cabir: „Cabir wurde in C++ entwickelt. Symbian und Nokia geben uns die komplette Entwicklungsumgebung (SDK) für Anwendungsentwicklungen unter dem Betriebssystem Symbian“ 3. Schwachstellen bzw. Fehler des Betriebssystems Die Plattform Symbian enthält einige schwerwiegende Fehler bei der Arbeit mit Dateien und Diensten. Im Falle des Wurms Cabir wurden sie nicht genutzt, bei der Mehrheit der modernen Trojaner für Handys werden sie jedoch in vollem Maße ausgenutzt. Cabir hat sofort die Aufmerksamkeit nicht nur der Antiviren-Hersteller, sondern auch vieler anderer Virenautoren auf sich gezogen. Alle warteten auf das Erscheinen der nächsten Ausgabe der elektronischen Zeitschrift der Gruppe 29A. Dort sollte traditionsgemäß der Quellcode des Wurms veröffentlicht werden. Allen war klar, dass diese Veröffentlichung zum Entstehen zahlreicher neuer, bedrohlicherer Modifikationen führen wird. Das passiert immer, wenn Technologien dieser Art in die Hände von Script-Kiddies oder Kriminellen geraten. Aber auch ohne solche Entwicklungsvorlagen sind junge Hooligans zu vielem fähig. Die existierenden Arten und Gruppen mobiler Viren Im Herbst 2004 haben sich drei Hauptrichtungen von Schädlingen für mobile Geräte herauskristallisiert. Eine davon war die Entwicklung von Trojanern. Das erste Exemplar war Mosquit.a. Eigentlich ein harmloses Spiel für Mobiltelefone, begann es allmählich, eine Menge von SMS-Nachrichten an alle aus dem Adressbuch des Nutzers ausgelesenen Empfänger zu versenden. Auf solche Art versuchten die Autoren des Spiels, Werbung dafür zu verbreiten. Tatsächlich war es nicht nur der erste Trojaner für Smartphones, sondern auch die erste AdWare. Der im November im Mobilnetz aufgetauchte Trojaner Skuller.a wurde als Vorreiter gesehen: Gerade dieser Trojaner nutzte einen Fehler des Betriebssystems Symbian aus, der einer Anwendung das Überschreiben der Systemdateien ermöglichte. Sicherheitsabfragen gab es nicht. Der Trojaner ersetzte alle Icons der vorhandenen Anwendungen mit einem Totenkopf und entfernte gleichzeitig alle Anwendungsdateien. Dadurch funktionierte das Telefon nach dem Neustart nicht mehr. Das Prinzip der so genannten "Trojaner-Vandalen" genießt momentan die höchste Popularität bei den Virenentwicklern. Der Trojaner Skuller. A Fast gleichzeitig mit Skuller.a haben drei neue Cabir-Modifikationen das Licht der Welt erblickt, die allerdings nicht auf dem Quellcode des Originalwurms basieren. Zu diesem Zeitpunkt geriet der Cabir-Quellcode in die Hände anderer Virenschreiber und einige von ihnen wandten den beliebten Trick der Script-Kiddies an: Einfach die Wurm-Dateien umbenennen sowie Änderungen einiger Original-Kommentare in seinem Code. Eine der Cabir-Modifikationen wurde etwas verbessert, indem ihr Archiv zusätzlich den Skuller-Wurm enthielt. Der daraus entstandene Hybrid-Wurm hatte keinen besonderen Sinn: Er konnte sich nicht vermehren, da der Trojaner das Mobiltelefon außer Betrieb setzte. Allerdings war es ein erstes Beispiel der Verwendung eines Cabir-Wurms als „Träger" anderer Schadprogramme. Zum Jahresanfang 2005 sahen wir die wichtigen Hauptarten der mobilen Viren, an denen die Virenautoren bisher auch festhalten: - Würmer, die sich über Smartphone-typische Protokolle und Dienste verbreiten - Trojaner-Vandalen, die die Symbian-Sicherheitslücken für das Eindringen ins System ausnutzen - Trojaner zur finanziellen Bereicherung Doch ungeachtet der wenigen Hauptarten existiert in der Praxis eine Vielfalt an Modifikationen und Arten. Kaspersky Lab verfügt gegenwärtig über 31 Schadprogrammfamilien für Mobiltelefone. Folgende Tabelle stellt wichtige Merkmale dieser Familien dar: Anzahl Technologische Datum der Betriebssyste Modifi Name Verbreitungsart Grundlage der Erkennung m kation Schadfunktion en Verbreitung über Worm.SymbOS.Cabir Juni 2004 Symbian Bluetooth 15 Bluetooth Infizierung von Virus.WinCE.Duts Juli 2004 Windows CE (File API) 1 Dateien ermöglicht August Backdoor.WinCE.