- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Irgendwie Mirai und irgendwie nicht


Neue Mirai-Angriffe – Aber: Es geht noch immer um Passwörter
Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten




Autor: Varonis

Ende letzten Jahres wurde bekannt, dass eine Mirai nicht unähnliche "Wormware" einen Angriff auf einen Internet Service Provider in Großbritannien lanciert hat. Insbesondere Talk Talk- und Post Office-Kunden meldeten Störungen und Internetausfälle. Wie schon beim ersten Vorfall bei dem sich das Mirai-Botnetz in erster Linie gekaperter Kameras aus dem Consumer-Bereich bediente wurde auch hier wieder ein offener Router-Port zum Einfallstor. Zwei wesentliche Aspekte haben die jüngsten Vorfälle bei Internet Service Providern gemeinsam: SQL Injection, ist eine immer noch real existierende IT-Sicherheitsplage, und Verbraucher sollten nun endlich dazu übergehen die Standard-Passwörter ihres Routers zu ändern.

Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten. Danach schwappte der Angriff auf die britische Insel. Bei genauerem Hinsehen stellten Sicherheitsexperten jedoch einige Unterschiede fest. Die neue Variante der Mirai-Malware, "Annie" genannt, nutzte Port 7547 (eine öffentliche IP) und nicht den üblichen Telnet-Port 23. Wie unter Netzwerk- und Telekom-Spezialisten bekannt ist das der Port über den ISPs ihre Router fernwarten. Und zwar über das ominöseTR-064-Protokoll. Kurz zusammengefasst kommen die Nachforschungen und Analysen zu dem Ergebnis, dass die Angreifer das Protokoll direkt ausgenutzt haben, um WiFi-Passwörter der Router mitzuschneiden sowie die Namen der betreffenden Funknetzwerke oder SSIDs.

Um die ganze Sache noch ein bisschen schlimmer zu machen: Den Hackern war es gelungen ein nicht besonders gut implementiertes in TR-064-Kommando zu finden. Das erlaubte ihnen den Zugriff beziehungsweise gestattete es den Angreifern nun eigene Shell-Befehle zu injizieren. Diese Shell-Kommandos waren hauptsächlich verantwortlich für den Download und das Ausführen der Binaries vom C2-Server der Hacker. Dieser Server stieß den Prozess dann wieder und wieder an, um den Annie-Wurm möglichst schnell und weit zu verbreiten. Im Badcyber-Blog kann man eine gute Zusammenfassung des Vorfalls nachlesen.

Und das Ziel...?
Ganz nebenbei sei noch erwähnt, dass bei den obigen Zugriffen keinerlei Authentifizierung nötig war, kein Benutzername, kein Passwort. Man darf sich also leise fragen, ob Internet Service Provider und Router-Hersteller mit Konzepten wie Privacy by Design vertraut sind. Man ist geneigt zu glauben, eher nicht.

In allen bekannten Fällen sieht es so aus, dass die Störungen und Ausfälle unter denen die betreffenden ISP-Kunden zu leiden hatten, durch den zusätzlichen Daten-Traffic verursacht worden sind. Immer mehr und mehr Router wurden mit Anfragen auf ihre Ports überschwemmt. Nach allem, was wir bisher wissen, hatte es die Annie-Wormware allerdings nicht auf Router-Funktionen als solche abgesehen. Das lässt den Schluss zu, dass der DDoS-Aspekt eine nicht intentionale Begleiterscheinung und Folge von Annie gewesen zu sein scheint. Es kursiert zusätzlich die Annahme, dass an diesem Angriff unterschiedliche Cybergangs beteiligt waren und sich verschiedener Mirai-ähnlicher Varianten bedient haben.

Die ultimative Absicht der Angriffe ist weiterhin nicht ganz eindeutig geklärt. Außer, dass man zeigen wollte, dass es überhaupt möglich ist Router in einem derartigen Ausmaß für einen Angriff auszunutzen. Talk Talk hat zügig ein Firmware-Update veröffentlicht, um den Bug im TR-064-Protokoll zu beseitigen und es nicht mehr möglich war auf den offenen Port zuzugreifen. Zusätzlich wurde das WiFi-Passwort auf die Standard-Werkseinstellungen zurückgesetzt (die man auf der Rückseite des Gerätes findet).

Wie schon am Beispiel der Mirai-Attacke auf Consumer-Kameras erläutert ist es keine schlechte Idee sich die Einstellungen der eigenen Firewall etwas genauer anzusehen. Wenn es keinen absolut triftigen Grund gibt eine Fernwartung oder Remote Verwaltung zu gestatten, oder andere spezielle Funktionen, sollte man solche öffentlichen Ports einfach entfernen. Wenn nur halbwegs jeder durchschnittliche Benutzer beim Verwalten seines WiFi-Netzwerks etwas sorgfältiger vorgegangen wäre hätte der Angriff niemals ein solches Ausmaß erlangen können.

Und wieder mal Passwörter....
Ken Munro, Gründer des Unternehmens Pentest Partners, bemerkte in den ursprünglichen Antworten von TalkTalk eine Schwachstelle. Und die weitaus meisten Benutzer verzichten schlicht darauf die WiFi-Passwörter aus den Standard-Werkseinstellungen tatsächlich zu ändern. Die von den Hackern eingesammelten Passwörter sollten also immer noch gültig sein.... Eine wenig Vertrauen erweckende Vorstellung. Eine Möglichkeit wie man solche Lücken auszunutzen kann ist das bekannte Wardriving.

Angreifer ermitteln beispielsweise mithilfe von wigle.net den Standort des gewünschten Routers und starten dann in räumlicher Nähe einen Angriff (wie das genau funktioniert haben wir mit Ken Munro besprochen).

Ein paar WiFi-Passwörter, SSID-Namen und wigle.net reichen folglich aus um im Hackergeschäft mitzumischen. Es ist durchaus vorstellbar, dass WiFi-Passwörter das eigentliche Ziel des Angriffs waren und Cyberkriminelle eine immense Zahl von Passwort-Listen jetzt im Dark Web zum Verkauf anbieten. Zum Jahreswechsel und darüber hinaus erwarteten Beratungsunternehmen massive CEO-Fraud-Angriffe. Man darf davon ausgehen, dass Passwörter, die in Zusammenhang mit Führungskräften, VIPs oder anderen erfolgversprechenden "Whaling"-Kandidaten stehen, im Dark Web gute Preise erzielen werden.

Jetzt sofort
Was also ist zu tun? Kunden von Talk Talk und anderen betroffenen ISPs tun gut daran ihre Passwörter so schnell wie möglich und für alle betroffenen Geräte zu ändern. Für alle anderen ist es vermutlich keine schlechte Idee die bestehenden WiFi-Passwörter von Zeit zu Zeit zu ändern und - wo gestattet - Horse-Battery-Staple-Techniken für möglichst unknackbare Passwörter einzusetzen. IT-Fachleute mögen einwenden, dass diese Tipps für Endverbraucher gut und schön sind, aber im Firmenumfeld keinerlei Relevanz haben. Bei dieser Argumentation sollte man sich aber vor Augen halten, dass Injection-Angriffe und die auch unter Profis grassierende "Defaultitis" zu einem Problem werden können.
(Varonis: ra)

eingetragen: 23.01.17
Home & Newsletterlauf: 14.02.17


Varonis Systems: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Zertifikat ist allerdings nicht gleich Zertifikat

    Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

  • Datensicherheit und -kontrolle mit CASBs

    Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

  • KI: Neue Spielregeln für IT-Sicherheit

    Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

  • DDoS-Angriffe nehmen weiter Fahrt auf

    DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

  • Fluch und Segen des Darkwebs

    Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.