» skypetap

Report on SC Magazine about the Skype trojan (August 2009)

carrumba — Wed, 13 Oct 2010 15:04:42 +0000

Skype snooping trojan detected, August 31 2009

Source code for a new trojan has been released that has the ability to snoop on phone calls over the popular voice over IP (VoIP) program Skype.

Ruben Unteregger, a Swiss software engineer formerly with the software development company ERA IT Solutions, released the source code for the trojan Tuesday. Unteregger provided details about the trojan on his blog, Megapanzer, which he said can “…intercept all audio data coming and going to the Skype process.”

“What we’re looking at is something that could be considered the first ‘wiretap trojan,’” Karthik Selvaraj, an analyst at Symantec Security Response Team, wrote in a blog post Thursday.

The code, identified as Trojan.Peskyspy, has the ability to record audio from Skype calls, convert the audio to an MP3 file, encrypt it and send it back to the attacker, Symantec said.

“What this threat is doing is actually grabbing the sound coming from the audio devices plugged into the computer,” Selvaraj wrote. “It does this by hooking various Windows API calls that are used in audio input and output.”

The trojan sniffs inbound and outbound audio as it travels between the PC’s audio device and Skype, Selvaraj explained. Outbound audio coming from a user’s microphone is captured before it even reaches Skype, and inbound audio is captured after it leaves Skype, but before it reaches the PC’s speakers.

“It gathers the audio independently of any application-specific protocols or encryption applied by Skype when it passes voice data at the network level,” Selvaraj said. “Essentially, it sits below these security measures, recording the audio at the Windows level.”

The trojan does not rely on any issue in Skype itself and could potentially be crafted to exploit any VoIP program, Selvaraj said.

Though source code became publicly available Tuesday, Unteregger told German news outlet Gulli.com that the trojan actually had been in development since at least 2006.

As of now, the trojan has not been identified in the wild, Kevin Haley, director of Symantec Security Response, told SCmagazineUS.com on Friday. But now that source code has been released, there is a potential that attackers could add this trojan to their exploits.
The source code does not have any means of propagating itself, so an attacker would have to use social engineering to trick a user into installing it, or have physical access to the machine they wish to infect.

“For the most part, this is a tool that would be used in a targeted way at someone,” Haley said.

A Skype spokesperson told SCMagazineUS.com in an email statement Friday that Skype’s Information Security team is aware of Trojan.Peskyspy.

“Skype strongly recommends that users follow security best practices like maintaining an up-to-date anti-virus program, using a personal firewall and ensuring that their computer is current with patches to help defend against attacks such as this.”

Things to do for the next days …

carrumba — Fri, 01 Oct 2010 11:27:33 +0000

I’m still struggling to make SkypeTap (skype interception module) work on Win7. This week things just don’t go as smoothly as expected :/ As soon as I have a result (may it be positive or negative) I’ll let you know.

If it works I think a further post would be appropriate that shows in detail how to inject *something* into a process and what different approches exist to do that.

Firefox account data extractor and SkypeTap

carrumba — Thu, 28 Jan 2010 08:00:32 +0000

The new code that extracts the Firefox account data out of the SQLite database is more or less done. If everything goes well I’ll upload the new sourcecode tonight (Swiss time) in a new version of the FFPasswordRecovery tool.

During spring I plan to conduct some tests with the SkypeTap plugin and other instant messengers. If you have some minutes spare and want to see how these apps and the plugin work together don’t hesitate to conduct these tests yourself and inform me afterwards and tell me what happened. Unfortunately my time is rather limited at the moment and school keeps me busy. Therefore hings are moving more slowly than usual.

Report on 20min about SkypeTap for Skype 4 (deutsch)

carrumba — Tue, 29 Dec 2009 13:19:19 +0000

Die Internettelefonie über Skype galt eigentlich als sicher. Das dem nicht so ist, wurde im vergangenen Sommer bekannt. Der «SonntagsBlick» berichtete Ende August über Ruben Unteregger, der den Quelltext für einen entsprechenden Trojaner im Internet veröffentlicht hatte. Unteregger ist ein ehemaliger Mitarbeiter des Schwyzer Unternehmens Era IT Solutions . 2006 deckte die «SonntagsZeitung» auf, dass der Bund bei dieser Firma eine Abhörsoftware für Skype-Telefonate in Auftrag gegeben hatte.

Nun hat Unteregger den Sourcecode über die Feiertage angepasst. Damit lassen sich auch Gespräche abhören, die mit der neusten Version der VoIP-Software geführt werden. «Im Internet stehen auf einschlägigen Seiten auch Programme zur Verfügung, mit denen sich die Mikrofone eines Rechners ansteuern lassen. Mein Ansatz bestand allerdings darin, die Skype-Applikation isoliert zu betrachten und alle Daten, die darüber laufen, abzufangen. Dafür muss der Trojaner auf den Rechner der Zielperson eingeschleust werden, was sich über verschiedene Wegen bewerkstelligen lässt», erklärt er im Gespräch mit 20 Minuten Online.

Trojaner steht im Web bereit

Das Update des Trojaners war keine grosse Sache, da Skype die bestehende Sicherheitslücke nach wie vor nicht behoben hat: «Ich habe lediglich ein paar Fehler ausgemerzt und die ganze Sache ein bisschen vereinfacht», so Unteregger. Auf seiner Webseite stellt er den Quelltext kostenlos zur Verfügung. Allerdings ist der Code nicht komplett. «Den Quellcode habe ich am 26. Dezember veröffentlicht, auf lauffähige Trojaner wurde wegen Missbrauchsgefahr bewusst verzichtet», sagt Unteregger. Die fehlenden Passagen sollen zu einem späteren Zeitpunkt veröffentlichen werden.

Der PC wird zur Wanze

Im den kommenden Monaten will Unteregger ein Programm veröffentlichen, mit dem sich PC-Mikrofone ansteuern und als Wanzen missbrauchen lassen. Damit soll die breite Öffentlichkeit auf die bestehenden Sicherheitsmängel aufmerksam gemacht werden.

Report on Gulli.com about SkypeTap for Skype 4 (deutsch)

carrumba — Sun, 27 Dec 2009 15:18:21 +0000

Ruben Unteregger aka Megapanzer demonstriert mit seiner Veröffentlichung, dass man auch die aktuelle Version der VoIP-Software Skype problemlos zum Abhören von Gesprächen missbrauchen kann.

Der Programmierer arbeitete früher rund 7 Jahre für das Schweizer Unternehmen ERA IT Solutions und war dort für die Erstellung von Schadsoftware zuständig. Dem Unternehmen wird nachgesagt, dass sie auch im Auftrag staatlicher Stellen Trojaner und andere Schadsoftware produziert haben sollen.

Megapanzer (Ruben Unteregger) hat die freie Zeit über die Feiertage genutzt, um seinen alten Code aufzuräumen, Fehler zu beseitigen und den Code an die aktuelle Version von Skype anzupassen. Den Quellcode des Trojaners hat er veröffentlicht, um bewusst auf diese Sicherheitslücke hinzuweisen. Der Source kann von hier heruntergeladen werden. Im Rahmen unseres damaligen Interviews von vor drei Monaten sagte er über die Zukunft der staatlichen Überwachung:

“Ich glaube (…), dass das Equipment der Behörden zur Überwachung und Strafverfolgung gut aufgestockt wurde. Es wäre an der Zeit, wenn die nächsten zwei, drei Schritte von der Gegenseite gemacht würden und dem Kontrollwahn ein wenig entgegengewirkt wird. Sobald die Welle aus Deutschland auch in die Schweiz überschwappt und man stetig das Gefühl vermittelt bekommt, dass einem jemand über die Schulter schaut, das hätte ich dann doch gerne anders.

Vorratsdatenspeicherung, Onlinedurchsuchung, Zensur, Raumüberwachung, Bewegungsprofil, Telefonie-, E-Mail- und SMS-Überwachung… das ist doch ein beachtliches und bedrohlich anmutendes Arsenal an Überwachungs- und Kontrollinstrumenten. Das sollte einem schon die Augen öffnen, den Leidensdruck ein wenig erhöhen, zum Nachdenken anregen und klar werden lassen, in welche Richtung es gehen kann oder wo wir gerade drinn stecken. Könnte man aufzeigen, dass einige dieser Dinge nicht die Sicherheit und den Schutz bieten können, unter welchem sie “verkauft” wurden und diese Nachricht würde dann auch in den Köpfen ankommen und die Idee wieder gekippt werden, das wäre ein guter Schritt in die richtige Richtung.“

New Skype trojan source version available

carrumba — Sat, 26 Dec 2009 12:49:12 +0000

Dear readers

I used the time over christmas to work on the Skype trojan source code. The code was a little messy, it compiled but at some places it crashed. The old source was optimised for Skype 3 and about for a year now Skype 4 is spreading more and more. Therefore I decided to clean up the code and adapt it that way it works toghether with the new Skype version.
It took its time, several bugs were fixed, some of the old features were removed as for example encryption and encoding.

The code is available here. Feedback is as always appreciated. Just drop me a mail.