Dns Malware

DNS Changer Malware legt Ziele auf Home-Routern fest.

Viele Menschen sind sich noch nicht bewusst, dass Home Routers zum Stehlen von persönlichen Zugriffsdaten mißbraucht werden können. Internetkriminelle haben Malware mit der Möglichkeit zur Änderung von Domain Name System (DNS)-Datensätzen in der Lage, selbst den unauffälligsten Netzwerktrouter zu einem Tool für ihre Zwecke zu machen. Attacken mit DNS-Changer-Malware sind nicht von neuem, aber wir stellen zum ersten Mal fest, dass diese Malware Routern angreifen kann (obwohl wir wissen, dass Routern gelegentlich mit schädlichen DNS-Servereinstellungen geliefert werden).

Die Malware manipuliert in diesem Beispiel den Kreuzschienenrouter und seine Namesystemeinstellungen. Falls Benutzer auf rechtmäßige Bank-Websites oder andere von den Online-Gangstern definierten Websites zugreifen möchten, leiten die Malware diese Anforderungen an schädliche Versionen aus. In Brasilien (fast 88% aller Infektionen), den USA und Japan, aber auch in Deutschland haben wir eine zunehmende Zahl solcher bösartiger Webseiten gefunden.

Auf diesen Seiten wird ein Browserskript für einen Brute-Force-Angriff auf den Routers des Opfers aus dem firmeneigenen Netz ausgeführt. Indem das Script mit den korrekten Anmeldeinformationen auf die Verwaltungsschnittstelle zugreift, schickt es eine einzige http-Anfrage an den Router mit einer böswilligen DNS-Server-IP-Adresse. Wenn die böswillige Variante die zulässige IP-Adresse überschreibt, ist die Infizierung von Erfolg gekrönt.

Abgesehen von den provisorischen Ausführungsdateien werden keine weiteren Daten auf den Computern der Betroffenen angelegt; die Malware arbeitet nicht mit hartnäckigen Methoden und führt keine Änderungen am Gesamtsystem durch. Geänderte DNS-Einträge führen dazu, dass Benutzer nicht einmal wissen, dass sie schädliche Clones von seriösen Webseiten durchsuchen. Vor allem Benutzer, die die ab Werk auf ihrem Router gelieferte Zugriffsdaten nicht verändern, sind einem erhöhten Ansteckungsrisiko unterworfen.

Internet-Nutzer halten DNS-Einträge in der Regel für selbstverständlich, da sie in der Regel von ihren Internet-Providern zugeordnet werden. Einzige Bedingung dafür ist, dass die Malware die Weiterleitung vor der Buchung verursacht hat. Diese Form von Malware ist, wie gesagt, nicht ungewöhnlich, aber in letzter Zeit haben wir eine zunehmende Zahl von infizierten Verbindungen durch Phishing-Angriffe in Brasilien beobachtet.

S und dass ein Brute-Force-Angriff gegen den Fräser aus dem firmeneigenen Netzwerk durchgeführt wird. So würde ein Netzwerk-Administrator dies, sobald der Benutzer das schädliche Script ausführte, als DNS-Änderungsanforderung von der Maschine des Benutzers an den Router auswerten. Dazu müsste er den internen Netzwerktraffic beobachten. Adminstratoren, die besonders auf äußere Attacken in den Logdateien von Firewall und Routern achten, würden dagegen nichts vorfinden.

Der Betroffene kann trotz Infizierung immer noch auf die Webseiten seiner Wahl zugreifen. Diese wurde mit Bedacht entwickelt, um die Zugriffsdaten der Betroffenen zu erfassen. Eine der von uns untersuchten Malware-Proben ist das Abhören der externen IP-Adresse des Erkrankten. Mithilfe des Skripts wird sowohl die IP-Adresse des Router als auch die Anmeldeinformationen für die Administratorkonsole ermittelt.

Die hier gezeigten Beispiele richten sich an D-LINK- und mit TPLINK ADSL-Routern, die in Brasilien weit verbreitete Anwendungen sind. In der folgenden Grafik ist der Teil des Sourcecodes dargestellt, der für den Angriff der Brute Force verantwortlich ist: Scripte versuchen, sich mit dem Kreuzschienenrouter über private RFC 1918 (https://tools.ietf. oder/html/rfc1918) Klasse A, B und C und die externe (öffentliche) IP-Adresse zu verknüpfen.

Welche Personen sind die Betroffenen? Die meisten kontaminierten Routers befinden sich, wie bereits gesagt, in Brasilien. Ein Teil der überwachten schädlichen Webseiten ist für die Darstellung auf Mobilgeräten aufbereitet. Wenn also die DNS-Einträge auf dem Kreuzschienenrouter verändert werden, sind alle verbundenen Netzwerkgeräte gefährdet, nicht nur die festen Maschinen.

Darüber hinaus können Internetkriminelle auch die Authentifizierungs- und Feedback-Seiten schmieden, auf die diese Vorrichtungen zuzugreifen suchen, um die Anmeldeinformationen zu entwenden. Zur Vermeidung dieser und anderer Attacken auf Routern wird empfohlen, dass Benutzer ihre Routern wie folgt konfigurieren: Auch die DNS-Einträge des Fräsers sollten in regelmässigen Intervallen geprüft werden.

Sie sollten auch besonders auf die von Ihnen aufgerufenen Webseiten achten, die von Ihnen die Angabe von Zugriffsdaten verlangen. Hierzu gehören unter anderem Webseiten von E-Mail-Anbietern oder Ihrer Hausbank etc. Auf diesen Seiten müssen alle gültigen SSL-Zertifikate vorhanden sein und angezeigt werden. Wenn sie sich unterscheiden, gibt es einen Anhaltspunkt dafür, dass der zu scannende verdächtige DNS-Server tatsächlich ein bösartiger ist.