Spionagesoftware enttarnt: Wie Belarus Journalisten mit „ResidentBat“ überwacht

Der belarussische Geheimdienst KGB hat offenbar über Jahre hinweg eine maßgeschneiderte Spionagesoftware mit dem Namen ResidentBat genutzt, um Journalisten und Oppositionelle lückenlos zu überwachen. Das deckten das Digital Security Lab (DSL) von Reporter ohne Grenzen (RSF) und die osteuropäische Organisation Resident.NGO auf. Für den belarussischen Apparat ist die Enttarnung ein schwerer Schlag, da die forensische Analyse der Software tiefe Einblicke in die Überwachungspraxis eines der repressivsten Regime weltweit erlaubt.

Hochpreisige Spyware wie Pegasus, Predator oder Candiru nutzt Schwachstellen in Betriebssystemen aus, um Endgeräte aus der Ferne zu infizieren. ResidentBat ist laut der Analyse auf einen physischen Zugriff angewiesen. Die Infektionskette, die RSF rekonstruieren konnte, liest sich wie ein Drehbuch für einen Agenten-Thriller: Eine betroffene Person wurde zu einer Befragung in die Räumlichkeiten des KGB vorgeladen. Vor Beginn des Verhörs musste sie das Smartphone in einem Schließfach deponieren. Während der Inquisition wurde die Person aufgefordert, bestimmte Inhalte auf dem Handy vorzuzeigen; sie entsperrte es vor den Augen der Beamten.

Die Experten gehen davon aus, dass die Sicherheitskräfte die PIN-Eingabe beobachteten, das Gerät später heimlich aus dem Fach nahmen und die Spyware manuell installierten. Da ResidentBat als legitime System-App getarnt ist, bleibt sie für Laien nahezu unsichtbar. Einmal aktiv, gewährt sie den Angreifern fast totale Kontrolle: Die Malware kann Anrufprotokolle auslesen, SMS und lokal gespeicherte Dateien kopieren sowie Mikrofonaufnahmen und Bildschirmaufzeichnungen anfertigen.

Besonders brisant: Auch Nachrichten aus eigentlich verschlüsselten Messengerdiensten wie WhatsApp, Signal oder Threema sind vor dem Zugriff nicht sicher, da die Spyware die Inhalte direkt am Endgerät abgreift, bevor sie verschlüsselt werden.

ResidentBat ist schon etwas älter

Die forensische Untersuchung zeigt, dass Minsk diese Technik nicht erst seit Kurzem nutzt. Durch den Abgleich von Code-Fragmenten auf Antiviren-Plattformen stießen die Analysten auf Versionen, die bis ins Jahr 2021 zurückreichten. Das deutet darauf hin, dass das Regime seit mindestens vier Jahren eine verlässliche Infrastruktur zur digitalen Verfolgung unterhält. Wer genau hinter der Entwicklung von ResidentBat steckt, bleibt unklar. Englische Zeichenketten im Quellcode legen nahe, dass es sich bei der Ausgangsbasis um ein kommerzielles Produkt handeln könnte, das für den internationalen Markt oder von einem externen Dienstleister entwickelt wurde.

RSF-Geschäftsführerin Anja Osterhaus sieht in dem Fund eine Bestätigung für die Forderung der zivilgesellschaftlichen Organisation nach einem weltweiten Verbot invasiver Spionagetechnologien. Solche Werkzeuge seien mit Menschenrechten schlicht nicht vereinbar. In Belarus ist der Einsatz solcher Software laut RSF Teil einer systematischen Unterdrückung: Mit 33 inhaftierten Medienschaffenden und Platz 166 auf der Rangliste der Pressefreiheit gehört das Land zu den gefährlichsten Orten für Journalisten weltweit.

Es geht auch ohne teure Exploits

Die Enthüllung hat bereits konkrete Auswirkungen für die Sicherheit von Android-Nutzern. Das DSL hat seine Erkenntnisse mit Google geteilt. Der Tech-Gigant kündigte an, betroffene Nutzer, die als Ziele staatlicher Akteure identifiziert wurden, über spezielle Warnungen über „regierungsgestützte Angriffe“ zu informieren.

Für die Betroffenen in Belarus ist das nur ein kleiner Trost. In einem Land, in dem bereits das Mitführen eines Smartphones zur Gefahr wird, zeigt der Fall ResidentBat vor allem eines: Auch ohne technische Geniestreiche und teure Sicherheitslücken kann ein Geheimdienst die Privatsphäre seiner Bürger eliminieren, sobald er die physische Kontrolle über die Hardware erlangt. Rufe nach einem Bann von Spyware gibt es in der EU seit diverser Skandale rund um solche Staatstrojaner. Getan hat sich seitdem wenig. Die EU-Kommission musste jüngst sogar einräumen, dass substanzielle Fördergelder an Spyware-Hersteller geflossen sind.

(cku)