DarkComet

DarkComet ist ein Remote-Access-Trojaner (RAT), der von Jean-Pierre Lesueur (bekannt als DarkCoderSc ^{[ 2 ]} ), einem unabhängigen Programmierer und IT-Sicherheitsexperten aus Frankreich, entwickelt wurde. Obwohl der RAT bereits 2008 entwickelt wurde, verbreitete er sich erst Anfang 2012. Die Entwicklung des Programms wurde teilweise aufgrund seines Einsatzes im syrischen Bürgerkrieg zur Überwachung von Aktivisten eingestellt, aber auch aufgrund der Angst des Entwicklers vor einer Verhaftung aus nicht näher genannten Gründen. ^{[ 1 ]} Seit August 2018 wird die Entwicklung des Programms „auf unbestimmte Zeit eingestellt“, und es werden keine Downloads mehr auf der offiziellen Website angeboten. ^{[ 3 ]}

DarkComet ermöglicht die Systemsteuerung über eine grafische Benutzeroberfläche . Es bietet zahlreiche Funktionen, die es als administratives Fernwartungstool nutzbar machen; allerdings birgt DarkComet auch Missbrauchspotenzial. Häufig wird es zum Ausspionieren von Opfern eingesetzt, beispielsweise durch Bildschirmaufnahmen, Tastatureingaben oder das Stehlen von Passwörtern.

Von 2011 bis 2014 stand DarkComet in Verbindung mit dem Syrienkonflikt . In Syrien nutzten Menschen sichere Verbindungen, um die staatliche Zensur und Überwachung des Internets zu umgehen. Dies veranlasste die syrische Regierung, RATs (Remote Access Trojans) einzusetzen, um ihre Zivilbevölkerung auszuspionieren. Viele glauben, dass dies die Verhaftungen zahlreicher Aktivisten in Syrien verursacht hat. ^{[ 1 ]}

Die RAT wurde über eine präparierte Skype-Chatnachricht verbreitet. Diese enthielt ein Facebook-Symbol, war aber in Wirklichkeit eine ausführbare Datei, die DarkComet installierte. ^{[ 4 ]} Nach der Infektion versuchte der Rechner des Opfers, die Nachricht mit derselben präparierten Skype-Chatnachricht an andere Personen zu senden.

Nachdem DarkComet mit dem syrischen Regime in Verbindung gebracht wurde , stellte Lesueur die Entwicklung des Tools ein und erklärte: „Ich hätte mir nie vorstellen können, dass es von einer Regierung zur Spionage eingesetzt werden würde. Hätte ich das gewusst, hätte ich ein solches Tool niemals entwickelt.“ ^{[ 1 ]}

Im Jahr 2012 fand das Unternehmen Arbos Network Beweise dafür, dass DarkComet von unbekannten Hackern aus Afrika genutzt wurde, um militärische Systeme und Gamer anzugreifen. Damals konzentrierten sie sich hauptsächlich auf die Vereinigten Staaten. ^{[ 5 ]}

Nach dem Anschlag auf die Satirezeitschrift Charlie Hebdo am 7. Januar 2015 in Paris nutzten Hacker den Hashtag „ #JeSuisCharlie “, um Menschen zum Herunterladen von DarkComet zu verleiten. DarkComet war als Bild eines Neugeborenen getarnt, dessen Armband die Aufschrift „Je suis Charlie“ trug. Sobald das Bild heruntergeladen war, waren die Systeme der Nutzer kompromittiert. ^{[ 6 ]} Die Hacker nutzten die Katastrophe aus, um so viele Systeme wie möglich zu kompromittieren. DarkComet wurde innerhalb von 24 Stunden nach dem Anschlag entdeckt.

DarkComet verwendet, wie viele andere RATs, eine Reverse-Socket-Architektur. Der nicht infizierte Computer mit einer grafischen Benutzeroberfläche (GUI), die die Steuerung infizierter Computer ermöglicht, ist der Client, während die infizierten Systeme (ohne GUI) als Server fungieren. ^{[ 7 ]}

Sobald DarkComet ausgeführt wird, verbindet sich der Server mit dem Client und ermöglicht diesem die Steuerung und Überwachung des Servers. Der Client kann nun alle Funktionen der grafischen Benutzeroberfläche nutzen. Auf dem Server wird ein Socket geöffnet, der auf den Empfang von Paketen vom Controller wartet und die empfangenen Befehle ausführt. In manchen Fällen kann die Malware Systemdienstprogramme verwenden, um der Erkennung zu entgehen und sich dauerhaft im System einzunisten. Beispielsweise kann sie die T1564.001-Technik anwenden, indem sie attrib.exe über cmd.exe startet, um die eigentliche ausführbare Datei zu verbergen.

Die folgende Liste der Funktionen ist nicht vollständig, enthält aber die wichtigsten Merkmale, die DarkComet zu einem gefährlichen Werkzeug machen. Viele dieser Funktionen können genutzt werden, um ein System vollständig zu übernehmen und dem Client nach erfolgter Benutzerkontensteuerung (UAC) uneingeschränkten Zugriff zu gewähren.

• Spionagefunktionen
  • Webcam-Aufnahme
  • Tonaufnahme
  • Remote-Desktop
  • Keylogger
• Netzwerkfunktionen
  • Aktive Ports
  • Netzwerkanteile
  • Server Socks5
  • LAN-Computer
  • Net Gateway
  • IP-Scanner
  • URL-Download
  • Seite durchsuchen
  • Umleitungs-IP/Port
  • WLAN-Zugangspunkte
• Rechenleistung
  • Stromausfall
  • Abschalten
  • Neustart
  • Abmelden
• Serveraktionen
  • Computer sperren
  • Server neu starten
  • Server schließen
  • Server deinstallieren
  • Hochladen und Ausführen
  • Fernbearbeitungsdienst
• Update-Server
  • Von der URL
  • Aus der Datei

DarkComet bietet außerdem einige "lustige Funktionen".

• Unterhaltsame Funktionen
  • Spaßmanager
  • Klavier
  • Nachrichtenfeld
  • Microsoft Reader
  • Fernchat

DarkComet ist eine weit verbreitete Schadsoftware . Durch die Installation eines Antivirenprogramms oder eines DarkComet-Entfernungsprogramms kann der Computer schnell von der Schadsoftware befreit werden. Betroffene Rechner sind typischerweise Windows-Versionen von XP bis Windows 10 .

Gängige Antiviren-Tags für eine DarkComet-Anwendung sind folgende:

• Trojaner[Backdoor]/Win32.DarkKomet.xyk
• BDS/DarkKomet.GS
• Backdoor.Win32.DarkKomet!O
• RAT.DarkComet

Wenn ein Computer infiziert ist, versucht er, über einen Socket eine Verbindung zum Zielcomputer herzustellen . Sobald die Verbindung hergestellt ist, wartet der infizierte Computer auf Befehle des Zielcomputers. Sendet der Zielcomputer einen Befehl, empfängt der infizierte Computer diesen und führt die entsprechende Funktion aus.

• Offizielle Website (inzwischen nicht mehr existent)