Cloud Expo Europe
28.11.17 - 29.11.17
In Frankfurt

Data Centre World
28.11.17 - 29.11.17
In Frankfurt

IT-Tage 2017
11.12.17 - 14.12.17
In Frankfurt, Messe Kap Europa

Net.Law.S 2018
20.02.18 - 21.02.18
In Nürnberg, Messezentrum

CESIS 2018
20.02.18 - 21.02.18
In München

BotnetEnde letzten Jahres wurde bekannt, dass eine Mirai nicht unähnliche „Wormware“ einen Angriff auf einen Internet Service Provider in Großbritannien lanciert hat. Insbesondere Talk Talk- und Post Office-Kunden meldeten Störungen und Internetausfälle.

Wie schon beim ersten Vorfall bei dem sich das Mirai-Botnetz in erster Linie gekaperter Kameras aus dem Consumer-Bereich bediente wurde auch hier wieder ein offener Router-Port zum Einfallstor. Zwei wesentliche Aspekte haben die jüngsten Vorfälle bei Internet Service Providern gemeinsam: SQL Injection, ist eine immer noch real existierende IT-Sicherheitsplage, und Verbraucher sollten nun endlich dazu übergehen die Standard-Passwörter ihres Routers zu ändern. 

Irgendwie Mirai und irgendwie nicht

Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten. Danach schwappte der Angriff auf die britische Insel. Bei genauerem Hinsehen stellten Sicherheitsexperten jedoch einige Unterschiede fest. Die neue Variante der Mirai-Malware, „Annie“ genannt, nutzte Port 7547 (eine öffentliche IP) und nicht den üblichen Telnet-Port 23. Wie unter Netzwerk- und Telekom-Spezialisten bekannt ist das der Port über den ISPs ihre Router fernwarten. Und zwar über das ominöse TR-064-Protokoll. Kurz zusammengefasst kommen die Nachforschungen und Analysen zu dem Ergebnis, dass die Angreifer das Protokoll direkt ausgenutzt haben, um WiFi-Passwörter der Router mitzuschneiden sowie die Namen der betreffenden Funknetzwerke oder SSIDs.

Um die ganze Sache noch ein bisschen schlimmer zu machen: Den Hackern war es gelungen ein nicht besonders gut implementiertes in TR-064-Kommando zu finden. Das erlaubte ihnen den Zugriff beziehungsweise gestattete es den Angreifern nun eigene Shell-Befehle zu injizieren. Diese Shell-Kommandos waren hauptsächlich verantwortlich für den Download und das Ausführen der Binaries vom C2-Server der Hacker. Dieser Server stieß den Prozess dann wieder und wieder an, um den Annie-Wurm möglichst schnell und weit zu verbreiten. Im Badcyber-Blog kann man eine gute Zusammenfassung des Vorfalls nachlesen.

Und das Ziel...?

Ganz nebenbei sei noch erwähnt, dass bei den obigen Zugriffen keinerlei Authentifizierung nötig war, kein Benutzername, kein Passwort. Man darf sich also leise fragen, ob Internet Service Provider und Router-Hersteller mit Konzepten wie Privacy by Design vertraut sind. Man ist geneigt zu glauben, eher nicht.

In allen bekannten Fällen sieht es so aus, dass die Störungen und Ausfälle unter denen die betreffenden ISP-Kunden zu leiden hatten, durch den zusätzlichen Daten-Traffic verursacht worden sind. Immer mehr und mehr Router wurden mit Anfragen auf ihre Ports überschwemmt. Nach allem, was wir bisher wissen, hatte es die Annie-Wormware allerdings nicht auf Router-Funktionen als solche abgesehen. Das lässt den Schluss zu, dass der DDoS-Aspekt eine nicht intentionale Begleiterscheinung und Folge von Annie gewesen zu sein scheint. Es kursiert zusätzlich die Annahme, dass an diesem Angriff unterschiedliche Cybergangs beteiligt waren und sich verschiedener Mirai-ähnlicher Varianten bedient haben.

Die ultimative Absicht der Angriffe ist weiterhin nicht ganz eindeutig geklärt. Außer, dass man zeigen wollte, dass es überhaupt möglich ist Router in einem derartigen Ausmaß für einen Angriff auszunutzen. Talk Talk hat zügig ein Firmware-Update veröffentlicht, um den Bug im TR-064-Protokoll zu beseitigen und es nicht mehr möglich war auf den offenen Port zuzugreifen. Zusätzlich wurde das WiFi-Passwort auf die Standard-Werkseinstellungen zurückgesetzt (die man auf der Rückseite des Gerätes findet).

Wie schon am Beispiel der Mirai-Attacke auf Consumer-Kameras erläutert ist es keine schlechte Idee sich die Einstellungen der eigenen Firewall etwas genauer anzusehen. Wenn es keinen absolut triftigen Grund gibt eine Fernwartung oder Remote Verwaltung zu gestatten, oder andere spezielle Funktionen, sollte man solche öffentlichen Ports einfach entfernen. Wenn nur halbwegs jeder durchschnittliche Benutzer beim Verwalten seines WiFi-Netzwerks etwas sorgfältiger vorgegangen wäre hätte der Angriff niemals ein solches Ausmaß erlangen können.

Und wieder mal Passwörter....

Ken Munro, Gründer des Unternehmens PentestPartners, bemerkte in den ursprünglichen Antworten von Talk Talk eine Schwachstelle. Und die weitaus meisten Benutzer verzichten schlicht darauf die WiFi-Passwörter aus den Standard-Werkseinstellungen tatsächlich zu ändern. Die von den Hackern eingesammelten Passwörter sollten also immer noch gültig sein.... Eine wenig vertrauenerweckende Vorstellung. Eine Möglichkeit wie man solche Lücken auszunutzen kann ist das bekannte Wardriving.

Angreifer ermitteln beispielsweise mithilfe von wigle.net den Standort des gewünschten Routers und starten dann in räumlicher Nähe einen Angriff (wie das genau funktioniert haben wir mit Ken Munro besprochen).

Mirai-Angriffe Passwörter

Ein paar WiFi-Passwörter, SSID-Namen und wigle.net reichen folglich aus um im Hackergeschäft mitzumischen. Es ist durchaus vorstellbar, dass WiFi-Passwörter das eigentliche Ziel des Angriffs waren und Cyberkriminelle eine immense Zahl von Passwort-Listen jetzt im Dark Web zum Verkauf anbieten. Zum Jahreswechsel und darüber hinaus erwarteten Beratungsunternehmen massive CEO-Fraud-Angriffe. Man darf davon ausgehen, dass Passwörter, die in Zusammenhang mit Führungskräften, VIPs oder anderen erfolgversprechenden „Whaling“-Kandidaten stehen, im Dark Web gute Preise erzielen werden.

Jetzt sofort

Was also ist zu tun? Kunden von Talk Talk und anderen betroffenen ISPs tun gut daran ihre Passwörter so schnell wie möglich und für alle betroffenen Geräte zu ändern. Für alle anderen ist es vermutlich keine schlechte Idee die bestehenden WiFi-Passwörter von Zeit zu Zeit zu ändern und - wo gestattet - Horse-Battery-Staple-Techniken für möglichst unknackbare Passwörter einzusetzen. IT-Fachleute mögen einwenden, dass diese Tipps für Endverbraucher gut und schön sind, aber im Firmenumfeld keinerlei Relevanz haben. Bei dieser Argumentation sollte man sich aber vor Augen halten, dass Injection-Angriffe und die auch unter Profis grassierende „Defaultitis“ zu einem Problem werden können.

www.varonis.com
 

GRID LIST
Tb W190 H80 Crop Int C2ba5ef936b84b748ce5064d774e909c

Die zentrale Rolle von Login-Daten im Uber-Hack

Der Vermittlungsdienst zur Personenbeförderung Uber erlitt 2016 einen Hack, in dem bis zu…
Dr. Chris Brennan

IT-Sicherheit: Schwachstelle ist nicht gleich Schwachstelle

Nicht jede Schwachstelle hat das gleiche Bedrohungspotential – Kontextbezug ist…
DNS

DNS wird zur ersten Verteidigungslinie gegen Cyber-Attacken

F-Secure und die Global Cyber Alliance bekämpfen künftig gemeinsam bösartige URLs mit…
Fisch aus Wasser

Gezielte Cyberangriffe von „MuddyWater“

Unit 42, das Forschungsteam von Palo Alto Networks, hat Cyberangriffe beobachtet, die sie…
Malware

Was Sie jetzt über Malware wissen müssen

Neue Viren, Ransomware und Co erfordern aktuelle Anti-Malware-Programme: Häufig ist die…
DDoS

Mehr komplexe DDoS-Attacken: Gaming-Industrie im Visier

In verschiedenen Ländern sind Ressourcen ins Visier der Angreifer geraten, ebenso wie wir…
Frische IT-News gefällig?
IT Newsletter Hier bestellen:

Newsletter IT-Management
Strategien verfeinert mit profunden Beiträgen und frischen Analysen

Newsletter IT-Security
Pikante Fachartikel gewürzt mit Shortnews in Whitepaper-Bouquet