# Equation Group

Equation Group (deutsch Gleichungsgruppe) ist eine Hackergruppe, die der US-amerikanischen National Security Agency (NSA) nahestehen soll. Die Existenz der Gruppe wurde im Februar 2016 vom russischen Sicherheitsunternehmen Kaspersky Lab bekanntgegeben. Nach Kaspersky verfügt die Gruppe über ein Arsenal hochentwickelter Schadsoftware, womit Regierungen, Unternehmen und Forschungseinrichtungen in über 30 Ländern weltweit angegriffen wurden. Kaspersky klassifizierte die Equation Group – so genannt wegen ihrer Vorliebe für ausgefeilte mathematische Verschlüsselungsmethoden – als Advanced Persistent Threat (APT, fortgeschrittene, andauernde Bedrohung).

## Entdeckung

Am 16. Februar 2015 berichtete das russische Sicherheitsunternehmen Kaspersky Lab auf dem „Kaspersky Security Analysts Summit“ in Mexiko von der Entdeckung einer Hackergruppe, der es den Namen „Equation Group“ gab. Nach Kaspersky war die Gruppe mindestens seit 2001 tätig – möglicherweise seit 1996 – und zählte mehr als 60 Aktive. Einige der von der Gruppe benutzten Schadprogramme seien in der Lage, die Festplatten-Firmware verschiedener Hersteller zu infizieren, wodurch sie auch Formatierung der Platte und Neuinstallieren des Betriebssystems überleben. Derart komplexe Kenntnisse legen nahe, dass staatliche Geheimdienste beteiligt sind.

## Wahrscheinliche Verbindung zu Stuxnet und der NSA

Die Forscher von Kaspersky stellten 2015 fest, dass eines der Schadprogramme der Equation Group, dem sie den Namen „Grayfish“ gaben, Ähnlichkeiten mit einem anderen Schadprogramm namens „Gauss“ aus früheren Angriffen aufwies. Daneben benutzte die Equation Group zwei Zero-Day-Exploits (noch nicht geschlossene Sicherheitslücken), die später auch bei den Stuxnet-Attacken ausgenutzt wurden. Die Forscher schlossen daraus, dass die Equation Group und die Stuxnet-Entwickler entweder identisch sind oder eng zusammenarbeiten.
Die Forscher fanden heraus, dass Schadsoftware der Equation Group in der Lage war, die Firmware der Festplattenlaufwerke einiger führender Hersteller zu infizieren und sich auch auf diese Weise zu verbreiten. Dazu konnten die Schadprogramme versteckte Bereiche auf den Festplatten anlegen und für ihre Zwecke nutzen. Für diese Fähigkeiten sind detaillierte Kenntnisse des Quellcodes der verschiedenen Hersteller nötig.
Die NSA-Codewörter „STRAITACID“ und „STRAITSHOOTER“ wurden in der Schadsoftware der Equation Group gefunden. Zeitstempel, die ebenfalls in der Schadsoftware entdeckt wurden, scheinen zu belegen, dass die Programmierer überwiegend montags bis freitags zwischen 8 und 17 Uhr (Eastern Standard Timezone, EST) arbeiteten.
In Schadsoftware der Equation Group aus dem Jahr 2008 wurden von Kaspersky-Forschern Teile des Stuxnet-Wurms gefunden, also zwei Jahre bevor Stuxnet entdeckt wurde.
Die finnische Sicherheitsfirma F-Secure berichtete, dass die Schadsoftware der Equation Group zur Infizierung von Festplatten-Firmware aus dem NSA-Katalog für fortgeschrittene Netzwerktechnologie stammt, den Der Spiegel 2013 öffentlich machte und wo sie unter dem Namen „IRATEMONK“ erscheint.

## Equation Group gehackt

Im August 2016 meldete die Hackergruppe The Shadow Brokers, sie habe Schadsoftware der Equation Group gestohlen, und bot diese zum Kauf an. Edward Snowden spekulierte, dass die Shadow Brokers russischen Geheimdiensten nahesteht.