Hacker klären auf:

So überwachen Kims Informatiker die Nordkoreaner

29.12.2016 11:25

Am alljährlichen Hacker-Kongress des Chaos Computer Clubs in Hamburg haben die IT-Experten Florian Grunow und Niklaus Schiess mit einem ganz besonderen Vortrag für Furore gesorgt: Sie haben ein Tablet aus Nordkorea durchleuchtet und die Abhörmechanismen identifiziert, mit denen das stalinistische Regime des Kim Jong Un das Verhalten seiner Bürger verfolgt. Die Überwachung ist so umfassend, dass Nordkoreaner kaum etwas auf ihren Tablets tun können, ohne dass es die Regierung mitbekommen würde.

Die Hardware des nordkoreanischen Tablets namens "Woolim", das die IT-Sicherheitsforscher für ihren Vortrag analysiert haben, ist laut einem "Spiegel Online"-Bericht ziemlich gewöhnlich und dürfte aus China stammen. Die größte Besonderheit des Nordkorea-Tablets ist, dass es über keinerlei Kommunikationsschnittstellen verfügt.

Wer ins Internet will, braucht einen USB-Netzwerkadapter. Wer das nordkoreanische Staatsfernsehen empfangen will, braucht auch dafür einen Empfänger. Gedacht ist das Gerät für Unterhaltungszwecke. Ein durchgesickerter nordkoreanischer Werbespot zeigt das Tablet in Aktion:

Gerät kommt mit lückenloser Überwachung
Wirklich spannend wird es, wenn man die Software des "Woolim"-Tablets analysiert. Auf dem Gerät kommt eine von staatlichen nordkoreanischen IT-Spezialisten massiv angepasste Variante von Android 4.4.2 zum Einsatz. Die normalerweise enthaltenen Google-Dienste haben Kims Informatiker restlos entfernt, dafür haben sie das Betriebssystem mit allerlei Überwachungsfunktionen angereichert und sichergestellt, dass die Bürger keine Inhalte aus dem Ausland öffnen können.

Erreicht wird das mit einem Signatursystem. Jede Datei, die auf dem Tablet geöffnet wird, wird vom Betriebssystem mit einem Wasserzeichen versehen, durch das Behörden nachverfolgen können, auf welchem Gerät eine Datei geöffnet wurde und auf welchen Wegen sie sich in Nordkorea verbreitet.

Unsignierte Dateien lassen sich mit dem "Woolim"-Tablet gar nicht öffnen, auf dem Nordkorea-Tablet können also nur Dateien aufgerufen werden, die entweder direkt vom jeweiligen Gerät stammen oder vom Kim-Regime bereits mit Signatur bereitgestellt wurden. Diese Form der Überwachung kennt man in IT-Sicherheitskreisen bereits vom nordkoreanischen Linux-Betriebssystem "Red Star OS", das ebenfalls über ein Signatursystem verfügt.

Spyware sammelt Screenshots und Surf-Verlauf
Neben dem Signatursystem verfolgt das Regime die Tablet-Aktivitäten der wenigen Nordkoreaner, die sich so ein Gerät leisten können, aber auch noch mit klassischer Spyware. Am "Woolim"-Tablet ist ein Tool installiert, das bei jedem Programmstart Screenshots aufzeichnet, die dokumentieren, was der Nutzer mit seinem Gerät macht. Und natürlich wird auch der Browserverlauf aufgezeichnet.

Manipulationen unterbinden Kims Informatiker dabei wirkungsvoll. Selbst die zwei Hacker, die das Nordkorea-Tablet in die Hände bekommen haben, hatten anfangs Schwierigkeiten, sich überhaupt Zugriff zum Speicher des Geräts zu verschaffen. Erschwerend kam hinzu, dass das Tablet bei Verdacht auf Manipulationen sofort herunterfährt und eine Meldung an nordkoreanische Behörden absetzt.