Der Stealth-Trojaner Regin wurde im Oktober letzten Jahres als
heimtückischer Stuxnet-Nachfolger bekannt, der Unternehmen sowie private Anwender unbemerkt ausspioniert. Nach einer Analyse des Antivirenherstellers Kapersky, liegt die Vermutung nahe, dass die Malware von der NSA stammt.
Der Sicherheitsanbieter stellte eine interessante Verbindung zwischen Regin und dem Keylogger QWERTY her. In einer Analyse verglich er den Code beider Schadprogramme. Dabei stellte sich heraus, dass ein bestimmter Code-Ausschnitt des QWERTY 20123 Moduls ebenfalls im Regin 50251 Modul zu finden ist und auf das Plugin 50225 verweist, das allerdings zum virtuellen Dateisystem von Regin gehöre.
"Das ist ein eindeutiger Beweis dafür, dass das QWERTY-Plugin nur als Teil von Regin agieren kann",
so Kaspersky. Da Regin sehr komplex aufgebaut sei und kaum jemand ohne Zugang zum Quellcode Teile davon duplizieren könne, schlussfolgert Kaspersky, dass beide Schadprogramme vom gleichen Entwickler stammen müssen oder zumindest von einer Kooperation mehrere Entwickler.
Den Quellcode von QWERTY hatte der Spiegel im Januar veröffentlicht und will diesen
als "NSA-Werkzeug" identifiziert haben. In dem Fall wäre Regin eindeutig der NSA und damit der USA-Regierung zuzuordnen.
Die meisten Sicherheitsanbieter wollen Regin bereits entdecken können. Das Tool Detekt scannt Computer ebenfalls gezielt nach Staatstrojanern und ist
im Download-Bereich erhältlich.