- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Irgendwie Mirai und irgendwie nicht


Neue Mirai-Angriffe – Aber: Es geht noch immer um Passwörter
Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten


- Anzeigen -





Autor: Varonis

Ende letzten Jahres wurde bekannt, dass eine Mirai nicht unähnliche "Wormware" einen Angriff auf einen Internet Service Provider in Großbritannien lanciert hat. Insbesondere Talk Talk- und Post Office-Kunden meldeten Störungen und Internetausfälle. Wie schon beim ersten Vorfall bei dem sich das Mirai-Botnetz in erster Linie gekaperter Kameras aus dem Consumer-Bereich bediente wurde auch hier wieder ein offener Router-Port zum Einfallstor. Zwei wesentliche Aspekte haben die jüngsten Vorfälle bei Internet Service Providern gemeinsam: SQL Injection, ist eine immer noch real existierende IT-Sicherheitsplage, und Verbraucher sollten nun endlich dazu übergehen die Standard-Passwörter ihres Routers zu ändern.

Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten. Danach schwappte der Angriff auf die britische Insel. Bei genauerem Hinsehen stellten Sicherheitsexperten jedoch einige Unterschiede fest. Die neue Variante der Mirai-Malware, "Annie" genannt, nutzte Port 7547 (eine öffentliche IP) und nicht den üblichen Telnet-Port 23. Wie unter Netzwerk- und Telekom-Spezialisten bekannt ist das der Port über den ISPs ihre Router fernwarten. Und zwar über das ominöseTR-064-Protokoll. Kurz zusammengefasst kommen die Nachforschungen und Analysen zu dem Ergebnis, dass die Angreifer das Protokoll direkt ausgenutzt haben, um WiFi-Passwörter der Router mitzuschneiden sowie die Namen der betreffenden Funknetzwerke oder SSIDs.

Um die ganze Sache noch ein bisschen schlimmer zu machen: Den Hackern war es gelungen ein nicht besonders gut implementiertes in TR-064-Kommando zu finden. Das erlaubte ihnen den Zugriff beziehungsweise gestattete es den Angreifern nun eigene Shell-Befehle zu injizieren. Diese Shell-Kommandos waren hauptsächlich verantwortlich für den Download und das Ausführen der Binaries vom C2-Server der Hacker. Dieser Server stieß den Prozess dann wieder und wieder an, um den Annie-Wurm möglichst schnell und weit zu verbreiten. Im Badcyber-Blog kann man eine gute Zusammenfassung des Vorfalls nachlesen.

Und das Ziel...?
Ganz nebenbei sei noch erwähnt, dass bei den obigen Zugriffen keinerlei Authentifizierung nötig war, kein Benutzername, kein Passwort. Man darf sich also leise fragen, ob Internet Service Provider und Router-Hersteller mit Konzepten wie Privacy by Design vertraut sind. Man ist geneigt zu glauben, eher nicht.

In allen bekannten Fällen sieht es so aus, dass die Störungen und Ausfälle unter denen die betreffenden ISP-Kunden zu leiden hatten, durch den zusätzlichen Daten-Traffic verursacht worden sind. Immer mehr und mehr Router wurden mit Anfragen auf ihre Ports überschwemmt. Nach allem, was wir bisher wissen, hatte es die Annie-Wormware allerdings nicht auf Router-Funktionen als solche abgesehen. Das lässt den Schluss zu, dass der DDoS-Aspekt eine nicht intentionale Begleiterscheinung und Folge von Annie gewesen zu sein scheint. Es kursiert zusätzlich die Annahme, dass an diesem Angriff unterschiedliche Cybergangs beteiligt waren und sich verschiedener Mirai-ähnlicher Varianten bedient haben.

Die ultimative Absicht der Angriffe ist weiterhin nicht ganz eindeutig geklärt. Außer, dass man zeigen wollte, dass es überhaupt möglich ist Router in einem derartigen Ausmaß für einen Angriff auszunutzen. Talk Talk hat zügig ein Firmware-Update veröffentlicht, um den Bug im TR-064-Protokoll zu beseitigen und es nicht mehr möglich war auf den offenen Port zuzugreifen. Zusätzlich wurde das WiFi-Passwort auf die Standard-Werkseinstellungen zurückgesetzt (die man auf der Rückseite des Gerätes findet).

Wie schon am Beispiel der Mirai-Attacke auf Consumer-Kameras erläutert ist es keine schlechte Idee sich die Einstellungen der eigenen Firewall etwas genauer anzusehen. Wenn es keinen absolut triftigen Grund gibt eine Fernwartung oder Remote Verwaltung zu gestatten, oder andere spezielle Funktionen, sollte man solche öffentlichen Ports einfach entfernen. Wenn nur halbwegs jeder durchschnittliche Benutzer beim Verwalten seines WiFi-Netzwerks etwas sorgfältiger vorgegangen wäre hätte der Angriff niemals ein solches Ausmaß erlangen können.

Und wieder mal Passwörter....
Ken Munro, Gründer des Unternehmens Pentest Partners, bemerkte in den ursprünglichen Antworten von TalkTalk eine Schwachstelle. Und die weitaus meisten Benutzer verzichten schlicht darauf die WiFi-Passwörter aus den Standard-Werkseinstellungen tatsächlich zu ändern. Die von den Hackern eingesammelten Passwörter sollten also immer noch gültig sein.... Eine wenig Vertrauen erweckende Vorstellung. Eine Möglichkeit wie man solche Lücken auszunutzen kann ist das bekannte Wardriving.

Angreifer ermitteln beispielsweise mithilfe von wigle.net den Standort des gewünschten Routers und starten dann in räumlicher Nähe einen Angriff (wie das genau funktioniert haben wir mit Ken Munro besprochen).

Ein paar WiFi-Passwörter, SSID-Namen und wigle.net reichen folglich aus um im Hackergeschäft mitzumischen. Es ist durchaus vorstellbar, dass WiFi-Passwörter das eigentliche Ziel des Angriffs waren und Cyberkriminelle eine immense Zahl von Passwort-Listen jetzt im Dark Web zum Verkauf anbieten. Zum Jahreswechsel und darüber hinaus erwarteten Beratungsunternehmen massive CEO-Fraud-Angriffe. Man darf davon ausgehen, dass Passwörter, die in Zusammenhang mit Führungskräften, VIPs oder anderen erfolgversprechenden "Whaling"-Kandidaten stehen, im Dark Web gute Preise erzielen werden.

Jetzt sofort
Was also ist zu tun? Kunden von Talk Talk und anderen betroffenen ISPs tun gut daran ihre Passwörter so schnell wie möglich und für alle betroffenen Geräte zu ändern. Für alle anderen ist es vermutlich keine schlechte Idee die bestehenden WiFi-Passwörter von Zeit zu Zeit zu ändern und - wo gestattet - Horse-Battery-Staple-Techniken für möglichst unknackbare Passwörter einzusetzen. IT-Fachleute mögen einwenden, dass diese Tipps für Endverbraucher gut und schön sind, aber im Firmenumfeld keinerlei Relevanz haben. Bei dieser Argumentation sollte man sich aber vor Augen halten, dass Injection-Angriffe und die auch unter Profis grassierende "Defaultitis" zu einem Problem werden können.
(Varonis: ra)

eingetragen: 23.01.17
Home & Newsletterlauf: 14.02.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert.

  • Tor-Browser, um IP-Adressen zu verschleiern

    Trotz ausgereifter Sicherheitstechnologien bleiben Anwender für Unternehmen eine empfindliche Schwachstelle, insbesondere deshalb, weil Cyberkriminelle ihre Social Engineering-Angriffe immer weiter verfeinern. Vor allem Phishing zählt zu den Angriffsvektoren, die Unternehmen gegenwärtig Kopfschmerzen bereiten. So werden E-Mails im Namen von Payment-Services, Shopanbietern oder E-Mailservice-Hosts von den kriminellen Hintermännern täuschend echt nachgeahmt, mit dem Ziel, durch das Abfischen von Logindaten weitere sensible, persönliche Daten zu erbeuten. Doch wie sehen die Konsequenzen aus, wenn Nutzerdaten von Mitarbeitern in die falschen Hände geraten und welche Auswirkungen hätte dies auf das Unternehmen? Das Forschungsteam von Bitglass hat versucht, mithilfe eines Experiments unter dem Namen "Cumulus" den Verbreitungswegen illegal erbeuteter Daten auf die Spur zu kommen.

  • PKI ist im 21. Jahrhundert angekommen

    Um ein IoT-Ökosystem sicher aufzubauen und zu entwickeln, braucht man zwingend Tools und Architekturen, um IoT-Geräte zu identifizieren, zu kontrollieren und zu verwalten. Dieser Prozess beginnt mit dem Festlegen einer starken Identität für jedes IoT-Gerät. Der folgende Beitrag beschäftigt sich mit einigen der Möglichkeiten, wie man die Authentizität von IoT-Geräten verifizieren kann, bevor man sie integriert. Die IoT-Entwicklung durchdringt mittlerweile alle Facetten unseres Lebens. Entsprechend rasant ist das Innovationstempo in diesem Bereich. Es existieren viele Anwendungen, die klug und ausgereift sind, aber leider auch solche, die das genaue Gegenteil davon sind. Dessen ungeachtet sind die weitaus meisten Anwendungen sehr wirkungsvoll etwa in der Landwirtschaft oder im Gesundheitswesen. Das IoT ist also nicht mehr weg zu denken. Trotzdem mutet die Entwicklung bisweilen so an, als versuche jemand zu rennen bevor er noch überhaupt laufen gelernt hat. Übersetzt heißt das, IoT-Entwickler vernachlässigen eine Kernkomponente unserer vernetzten Welt, die Sicherheit.

  • Mustererkennung umgehen

    Ob Viren, Würmer, Bots, Trojaner oder Keylogger, viele der gängigen Malware-Formen bergen nicht nur ein hohes Schadenspotential, sondern sind auch überaus wandlungsfähig. Ein berüchtigtes Beispiel ist die CryptoWall-Ransomware, mit der Cyberkriminelle nach Schätzung des FBI mehr als 18 Millionen Dollar erbeutet haben. CryptoWall ist ein polymorpher Ransomware-Stamm, der in bekannter Manier Daten auf dem Computer des Opfers verschlüsselt und anschließend Lösegeld erpresst. Der in CryptoWall verwendete polymorphe Builder entwickelt dabei für jedes Angriffsziel eine im Wesentlichen neue Code-Variante, um der Entdeckung durch traditionelle Sicherheitslösungen zu entgehen. Polymorphe Malware ändert ständig ihre identifizierbaren Merkmale, beispielsweise durch Veränderung von Dateinamen und -typen, Verschlüsselung oder Komprimierung. Einige polymorphe Taktiken existieren bereits seit den 1990ern, doch in den letzten zehn Jahren hat sich eine neue Welle aggressiver polymorpher Malware entwickelt.

  • Unterschätztes Risiko Insider-Angriff

    Beim Stichwort Cyber-Bedrohung denkt man häufig an großangelegte Malware-Angriffe wie Ransomware, mit denen Kriminelle versuchen, das Firmennetzwerk zu kompromittieren. Unterschätzt wird jedoch oft eine Gefahr, die bereits im Firmengebäude sitzt: Die Insider-Bedrohung. Insider - seien es unachtsame Angestellte oder böswillige Mitarbeiter, die aus finanziellen oder persönlichen Motiven Daten stehlen oder gar löschen - sind ein enormes Risiko für die Datensicherheit in Unternehmen. Oft haben Angestellte, externe Auftragnehmer und andere Dritte legitimen Zugriff auf sensible Daten, um effektiv und flexibel arbeiten zu können. Dies stellt eine Herausforderung für Sicherheitsteams dar, denn es ist wesentlich schwieriger, Bedrohungen zu erkennen, wenn der betreffende Akteur gültigen Zugriff auf Unternehmensdaten hat. Mit entsprechenden Richtlinien und Technologien kann die Gefahr eines internen Datenverlustes oder -diebstahls jedoch erheblich reduziert werden.