Wer als Geschäftsmann auf Reisen geht, steht vor dem Problem, dass er mit seinen mobilen Devices wie Smartphone, Tablet oder Laptop schnell Daten senden will. Was bietet sich dafür besser an, als ein Hotel-WLAN. Kaspersky Lab hat die Spionagekampagne „Darkhotel“ enttarnt, bei der seit mindestens vier Jahren gezielt sensible Daten von geschäftlich reisenden Führungskräften gestohlen wurden. Darkhotel zielt auf Gäste von Luxus-Hotels ab. Die Hintermänner gehen hierbei äußerst präzise vor. Bei einem einmaligen Zugriff über das WLAN des kompromittierten Hotels werden alle wertvollen Daten eingesammelt. Anschließend löschen die Angreifer alle Spuren, ziehen sich zurück und warten auf das nächste hochrangige Opfer. Der Fokus der Darkhotel-Attacken liegt auf reisenden Topmanagern aus den USA und Asien, die geschäftlich im Asiatisch-Pazifischen Raum unterwegs sind – beispielsweise CEOs, hochrangige Manager, Vertriebs- und Marketingleiter sowie Führungskräfte aus dem Bereich Forschung und Entwicklung. Neben dem Ausspähen von Hotelgästen setzt die Darkhotel-Gruppe auch auf Spear-Phishing- und Filesharing-Server-Attacken, bei denen auch deutsche Opfer betroffen waren. Die Kampagne ist nach wie vor aktiv.

Die Darkhotel-Hintermänner verfügen über eine Reihe effektiver Eingriffsmöglichkeiten in Hotel-Netzwerke, mit denen sie über die Jahre umfangreichen Zugang auch zu privat oder sicher geglaubten Systemen hatten. Wenn sich ein Opfer nach dem Hotel-Check-in mit dem Hotel-WLAN verbindet und seine Zimmernummer sowie seinen Nachnamen in die Login-Maske eingibt, werden die Angreifer des kompromittierten drahtlosen Netzwerks aktiv. Sie verleiten das anvisierte Opfer dazu, ein Backdoor-Programm herunterzuladen und zu installieren, das sich als Update für eine Standardsoftware wie Google Toolbar, Adobe Flash oder Windows Messenger ausgibt. Tatsächlich infiziert der ahnungslose Manager seinen eigenen Rechner mit der Darkhotel-Spionagesoftware.

Ist das Backdoor-Programm auf einem System installiert, können damit weitere fortschrittliche Diebstahl-Werkzeuge auf den infizierten Rechner geladen werden, dazu zählen ein hochentwickelter digital signierter Keylogger, der Trojaner „Karba“ sowie ein Informationen stehlendes Modul. Diese Tools sammeln Daten über das System und die darauf installierte Antivirensoftware, lesen alle Tastaturanschläge mit und suchen nach in Firefox, Chrome sowie im Internet Explorer gespeicherten Passwörtern; ebenso wie nach Zugangsdaten für Gmail Notifier, Twitter, Facebook, Yahoo! und Google sowie weiteren privaten Daten. Die Folge: Der Abfluss sensibler Informationen wie das geistige Eigentum der vom Opfer repräsentierten Geschäftseinheit. Nach der Operation „reinigen“ die Angreifer das Hotelnetzwerk sorgfältig von ihren Werkzeugen und verbergen sich wieder im Hintergrund.

 

Wirtschaftsspionage im Hotel vermeiden

Geschäftsreisende sollten grundsätzlich jedem Netzwerk misstrauen, auch halbprivaten in Hotels. Der Darkhotel-Fall steht beispielhaft für eine aufkommende Angriffsart. Einzelpersonen, die im Besitz wertvoller Informationen sind, können zum Opfer der Darkhotel-Kampagne (weil noch aktiv) oder von ähnlichen Angriffen werden. Kaspersky Lab rät zu folgenden Vorsichtsmaßnahmen:

• Beim Zugang von öffentlichen oder halböffentlichen WLANs ermöglichen VPNs (Virtual Private Networks) einen verschlüsselten Kommunikationskanal;

• Gerade auf Reisen sollte man Software-Updates gegenüber skeptisch sein. Nutzer sollten daher immer darauf achten, dass der angebotene Update Installer von einem offiziellen Anbieter signiert ist;

• Eine Internetsicherheitslösung mit proaktiven Schutztechnologien schützt besser vor neu aufkommenden Gefahren als ein reiner Antivirenschutz;

 

Gast-Autor: Matthias J.Lange