Bereits 2017 und 2018 hat das britische National Cyber Security Centre (NCSC) beschrieben, wie die wahrscheinlich in Russland beheimatete Hackergruppe "Turla" unter anderem die beiden Malware Implantate "Neuron" und "Nautilus" für Spionageangriffe in diversen Ländern benutzt hat. Die meisten Opfer befanden sich in Ländern des Nahen Ostens.

Die Turla-Gruppe, auch als Waterbug oder Venomous Bear bekannt, späht mit raffinierten Vorgehensweisen die IT-Systeme von Behörden, militärischen Einrichtungen und Unternehmen aus, um an ihre Geheimnisse zu kommen. Auch beim Hack des Schweizer Rüstungsbetriebs Ruag könnte sie ihre Finger im Spiel gehabt haben.

Nautilus und Neuron allerdings, so sagt das NCSC nun in einen zusammen mit dem US-Geheimdienst NSA verfassten Report, wurden nicht von Turla entwickelt. Sondern sehr wahrscheinlich von Cyber-Spionagegruppen aus dem Iran.

Turla, so glaubt das NCSC, hat sich in die Systeme der iranischen Hacker gehackt. Dadurch kamen sie unter anderem an die notwendigen Informationen heran, um die Command- and Control-Server für Neuron und Nautilus, unbemerkt von deren eigentlichen "Besitzern", auch selbst zu benutzen. So konnte Turla Opfer, welche bereits von den Iranern kompromittiert wurden, auch selbst ausspähen und ihnen zudem zusätzliche eigene Malware unterjubeln.

Ausserdem erbeutete Turla den Code der beiden Implantate. Diese seien von Turla dann auch bei Opfern eingesetzt worden, welche die Hackergruppe zuvor bereits mit eigener Malware aus ihrem "Snake" genannten Satz an Tools infiziert hatte.

Der NCSC-Direktor Paul Chichester erklärte, die Veröffentlichung des Berichts sei unter anderem eine Warnung an staatlich gesponsorte Hackergruppen: "Auch wenn Cyber-Akteure versuchen, ihre Identität zu maskieren, werden wir sie dank unseren Möglichkeiten letztendlich identifizieren."

Allerdings wurden die Tools ja lange Zeit gar nicht iranischen Gruppen zugeordnet, sondern Turla selbst. So gesehen scheint Tarnung nicht unbedingt das Hauptziel von Turla gewesen sein. Vielleicht ging es eher darum, die Methoden der iranischen Gruppen kennenzulernen und zu analysieren. Und die Möglichkeit, bereits von anderen Spionen "vorgehackte" Ziele ohne grossen Aufwand selbst auszuspionieren, könnte auch ein Motiv gewesen sein. (hjm)