Botnetzwerk

BOT-Netzwerk

Wie kann ich mich vor einem Botnet schützen? Aus technischer Sicht ist ein Botnet oder Botnet eine Vereinigung von unabhängigen Computern, die sich als ein einziges System darstellen. Doch was ist ein Botnet?

Neue Botnets über loT

Das neue Botnet ist laut Sicherheitsexperten ein neuer Name, der sich seit Anfang des Jahres weit ausbreitet. Nach einem Jahr hat ein Angehöriger das Mirai-Botnet übernommen: Ein neuer Botnet soll einen Teil des Mirai-Quellcodes einbinden. Das neue Netzwerk wird von den Sicherheitswissenschaftlern "IoT_reaper" oder "IoTroop" genannt. Den Daten zufolge kommen die Devices hauptsächlich von Netgear, D-Link, Linkys, GoAhead, Java, Vacron, AVTECH, MikroTik, TP-Link und Synology.

Im Gegensatz zu Mirai wird im neuen Botnet nicht mit bekannten Standardpasswörtern gekapert. Vielmehr werden die bekannten, aber noch nicht gepatchten Defizite ausgenutzt.

Die Cisco Talos umfasst große Kreuzschiene.

Wahrscheinlich stehen wenigstens eine halbe Millionen Einheiten unter der Aufsicht von staatlichen Angreifern. Der Autor der Malware VPNFilter hat einen Switch installiert, der die befallenen Rechner auf Kommando auslöst. Das US-Sicherheitsunternehmen Talos, eine Tochtergesellschaft des Routerherstellers Cisco, mahnt vor einem großen Bot-Netzwerk, dessen Besitzer anscheinend hauptsächlich an Routern und Netzwerkspeichergeräten (NAS) arbeiten.

Den Angreifern wird eine ausgeklügelte, mehrschichtige Schadsoftware namens VPNFilter installiert. Wenigstens sollen von Talos bereits über 5000 befallene Endgeräte erkannt worden sein. Diese sind in 54 Staaten angesiedelt; Talos betrachtet einen Tätigkeitsschwerpunkt in der Ukraine. Talos ist sich nicht besonders klar darüber, was der wahre Sinn von Schädlingen ist.

Allerdings verweist die Firma darauf, dass die Ermittlungen noch nicht abgeschlossen sind und dass sie noch nicht alle Bausteine gesehen hat. Ein besonders beunruhigendes Feature von VPNFilter rückt die Firma Talos in den Vordergrund: Die Entwickler haben eine Funktionalität implementiert, die das angesteckte Endgerät bei Bedarf unbenutzbar macht. VPNFilter übersteuert die ersten 5000 Bytes des ersten Blockgeräts (/dev/mtdblock0) nach einem "kill"-Befehl, wodurch der Start gestoppt wird.

Inwiefern Malware auf die Endgeräte gelangt ist, ist noch nicht bekannt. Talos geht daher "mit großer Wahrscheinlichkeit" davon aus, dass es keine bisher nicht bekannten Sicherheitslöcher (0 Tage) im Spielgeschehen gibt. Auf SOHO-Geräten von Linkys, MicroTik, Netgear und TP-Link wurde nun erstmals ein VPN-Filter gefunden. Auch auf NAS-Geräten des Anbieters QNAP ist eine Verschachtelung des VPNFilters möglich (siehe detaillierte Aufstellung am Ende).

Dieser Prozess beseitigt nur die Ebenen zwei und drei der Schadsoftware und eine Neuinfektion durch Stufe 1 ist bereits programmiert. Da nicht bekannt ist, ob die derzeitige Auflistung betroffener Rechner komplett ist, rät Cisco Talos allen Eigentümern von SOHO-Routern und NAS-Geräten, diese auf die Werkseinstellung umzustellen. Diese Empfehlung verweist ausdrücklich auf "alle SOHO- oder NAS-Geräte, ob sie von der Gefahr bedroht sind oder nicht", so Talos Blogbeitrag auf VNFilter.

Die Staatsschauspieler hinter den VPNFiltern sehen und zeigen mit dem Zeigefinger ganz klar in die russische Sicht. Diese Notiz ist von der Firma Talkos mit einem Papier des US-Ministeriums für Heimatschutz verknüpft, das die Grizzly Steppe-Software dem sowjetischen Secret Service zuweist. Also deutet Cisco Talos über zwei Kurven auf Russland.

So ein einziger Hinweis ist natürlich sehr leicht zu schmieden, um irreführende Zeichen zu hinterlassen. Bislang hat Talos keine weiteren Indikationen genannt, die eine Zuschreibung unterstützen. Aktualisiert: 14:20, 24.5. 2018: Qnap bietet jetzt einen Sicherheitshinweis für VPNFilter-Malware, der den Gebrauch von Malware Remover 2.2. 1 empfiehlt, der VPNFilter erkennen und neutralisieren kann.

Die Schadsoftware wird nach einem Restart nicht mehr maschinell neu installiert. Unter anderem wurden für den Schadprogrammentferner Unterschriften bereitgestellt, um die Schadsoftware zu beseitigen. Unseren Ergebnissen zufolge, die erst wenige Tage alt sind, gibt es noch befallene Qnap NAS-Systeme, so dass - wenn nicht bereits erfolgt - ein vorbeugender Restart und ein Scannen mit der jeweils aktuellsten Fassung des Schädlingsbekämpfers unbedingt empfohlen wird.