Linus Neumann 0:19:57
Wird's einfacher mal durch müllhalden zu wühlen und dann nicht alle davon übrigens muss ich auch sagen sind jetzt irgendwie neu na also viele davon du findest,in den meisten berichten findest du halt die die zweihundertsechsundfünfzig prüft summe.Aber nicht das sample selber das ist also die die prüfung haben wir überprüfung sprechen wir ja relativ häufig also quasi die eindeutige kennung eines stückes daten und sehr häufig finden werden halt die,die prüfungen veröffentlicht nicht aber das sample selber,wenn du aber die prüft summe weißt dann ist es wenn du jetzt irgendwie weiß wie du suchen muss und wenn du fragen muss halt relativ einfach,du hast wenigstens einen anhaltspunkt wo du weißt okay jetzt habe ich es und wenn ich mich nicht täusche stamm von den achtundzwanzig samples allein,zwölf oder vierzehn ich glaube zwölf aus dem leag von chinas fischer ja fitness fischer hat.Bei uns ja auch viel besonnener hält,zwanzig vierzehn glaube ich find fischer gehackt und.Die dort gefundenen daten.Veröffentlicht in einem großen torrent vierzig gigabyte torrent und allein dort findest du halt eine reihe dieser samples drin ja das heißt,nicht also viele von diesen samples sind von anderen vorher auch schon veröffentlicht worden oder analysiert worden ja sind nicht alle neu aber.Na das ist so ein bisschen wie bei slowing der koffer ja wenn du halt irgendwie anfängst dir eine ordentliche staatstrojanersammlung anzulegen dann legst du irgendwann wert auf vollständigkeit ja und dass dieses das hat uns da da halt auch befallenich gucke gerade mal hier sind eins zwei drei vier fünf sechs sieben acht neun zehn,zwölf zwölf waren in dem lied von,fitness fischer dran so dann haben wir die uns alle angeschaut und haben halt gemeinsamkeiten dadrin entdeckt und unterschiedlichkeiten und haben diese ergebnisse alle so ein bisschen,zusammengetragen jetzt ist das entscheidende wir hatten quasi zwei fragen die die eine frage war.Herstellungs zeitraum wann ist das sample produziert worden,und eingesetzt worden aber produzieren ist das entscheidende weil es hätte ja theoretisch sein können dass die alle vor in kraft treten der,exportkontrolle aus europa raus exportiert worden ohne eine notwendigkeit einer genehmigung und alles ist gut.Oder sie wurden danach hergestellt achtzehnte juli war das relevante datum.So jetzt mussten wir also gucken finden wir in diesen samples etwas das,daraufhin deutet dass sie nach diesem datum hergestellt wurden und das also da gab es indizien,die hatte auch die gesellschaft für freiheitsrechte in ihrer strafanzeige eingebracht die gesellschaft für freiheitsrechte hat nämlich dann ihre staats ihre strafanzeige aus sorge vor verjährung quasi eingebracht bevor wir fertig waren mit der analyse.Und die hatten halt in indizien,sehr viele konsistente indizien dass es nach zwanzig fünfzehn erstellt wurde aber,muss ich jetzt so sagen diese indizien hatten keine beweiskraft das waren alles auch dinge die man hätte ändern können es hätte es wäre nicht unmöglich gewesen auch wenn keine motivation da ist oder so diese dinge in,quasi in die zukunft zu debattieren auch wenn überhaupt gar keinen sinn dafür kein anlass dafür bestehen würde aber sie hatten keine beweiskraft.Aber eben sehr starke indizien kraft und was wir dann halt herausgefunden haben ist dass,in den objekt falls von von dem fraglichen sample was in der türkei oder gegen die türkische opposition eingesetzt wurde dass sich dort quasi libraries drin befinden,die auch erst zwanzig sechzehn existiert haben ja also die wo quasi drin steht so diese version von.Light,gibt es erst seit diesem und jenem datum und sie hat einen hash wert ja und dieser hashtag wiederum den hatte halt diese library sodass wir sagen konnten ok es ist einfach nicht möglich,dass jemand die software aus der zukunft verwendet hat beim bau seiner schadsoftware und deswegen ist diese sample,frühestens zwanzigsechzehn entstanden im zweifelsfall noch sehr viel später.So das war die frage nach dem herstellungs traum und dann ist eben die frage nach dem,nach der herkunft also wer hat's denn produziert so da kannst du natürlich auf viele wege vergleiche machen wir haben.In unserer sammlung noch drei weitere samples gefunden die zum beispiel signiert waren mit dem gleichen zertifikat wie samples die in dem fingers fischer league waren,signatur zertifikate immer nur einer hat und diese signatur zertifikate nicht geliebt sind war klar dass diese anderen drei samples die wir auch hatten aus der gleichen quelle stammen nämlich von finn fischer,weil die zertifikate war nicht gelegt mit anderen worten wir konnten jetzt noch drei weitere samples auch über die zertifikate eindeutig fischer zuordnen es hat aber nicht.Es war jetzt quasi bei dem fraglichen sample was eben gegen die türkischen leute eingesetzt wurde nicht,möglich diesen also weil das quasi dieser einsatz war ja zwanzig siebzehn wurde das erstmalig an gesendet und.Das war ja quasi nach dem großen heck von veneers fischer und danach haben die angefangen nie mehr,als einmal das gleiche zertifikat zu verwenden ja klar ne wenn du weißt das zertifikat ist ein beweis gegen dich dann fängst du halt an und nimmst einfach jedes mal ein anderes.Was ihr aber herausgefunden haben ist dass diese ganzen samples von,zweitausendzwölf bis zweitausendneunzehn.Die wir dort hatten einen sehr spezifischen sehr findigen mechanismus nutzen um ihre,konfiguration zu verstecken also,ja wir haben es mit einem ganz normalen trojaner zu tun trojaner führt irgendwelche für irgendwelche überwachungsaufnahmen auf dem system durch und,extrahiert dort informationen die dann weg schickt ja der braucht also ein sogenannten command and control server da geht der quartal schickte die daten hin.Und.Die herausforderungen für diese für diese hersteller ist oder für finn fischer ist jetzt so wir müssen diesen trojaner eine konfiguration mitgeben,so und zwar an folgende ip-adresse sendest du die ergebnisse und du machst keine ahnung du löscht dich selber nach so und so viel einsetzen oder du machst ne oder du du hast dieses modul aktiv und dieses modul nicht und so weiter.