- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Irgendwie Mirai und irgendwie nicht


Neue Mirai-Angriffe – Aber: Es geht noch immer um Passwörter
Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten


- Anzeigen -





Autor: Varonis

Ende letzten Jahres wurde bekannt, dass eine Mirai nicht unähnliche "Wormware" einen Angriff auf einen Internet Service Provider in Großbritannien lanciert hat. Insbesondere Talk Talk- und Post Office-Kunden meldeten Störungen und Internetausfälle. Wie schon beim ersten Vorfall bei dem sich das Mirai-Botnetz in erster Linie gekaperter Kameras aus dem Consumer-Bereich bediente wurde auch hier wieder ein offener Router-Port zum Einfallstor. Zwei wesentliche Aspekte haben die jüngsten Vorfälle bei Internet Service Providern gemeinsam: SQL Injection, ist eine immer noch real existierende IT-Sicherheitsplage, und Verbraucher sollten nun endlich dazu übergehen die Standard-Passwörter ihres Routers zu ändern.

Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten. Danach schwappte der Angriff auf die britische Insel. Bei genauerem Hinsehen stellten Sicherheitsexperten jedoch einige Unterschiede fest. Die neue Variante der Mirai-Malware, "Annie" genannt, nutzte Port 7547 (eine öffentliche IP) und nicht den üblichen Telnet-Port 23. Wie unter Netzwerk- und Telekom-Spezialisten bekannt ist das der Port über den ISPs ihre Router fernwarten. Und zwar über das ominöseTR-064-Protokoll. Kurz zusammengefasst kommen die Nachforschungen und Analysen zu dem Ergebnis, dass die Angreifer das Protokoll direkt ausgenutzt haben, um WiFi-Passwörter der Router mitzuschneiden sowie die Namen der betreffenden Funknetzwerke oder SSIDs.

Um die ganze Sache noch ein bisschen schlimmer zu machen: Den Hackern war es gelungen ein nicht besonders gut implementiertes in TR-064-Kommando zu finden. Das erlaubte ihnen den Zugriff beziehungsweise gestattete es den Angreifern nun eigene Shell-Befehle zu injizieren. Diese Shell-Kommandos waren hauptsächlich verantwortlich für den Download und das Ausführen der Binaries vom C2-Server der Hacker. Dieser Server stieß den Prozess dann wieder und wieder an, um den Annie-Wurm möglichst schnell und weit zu verbreiten. Im Badcyber-Blog kann man eine gute Zusammenfassung des Vorfalls nachlesen.

Und das Ziel...?
Ganz nebenbei sei noch erwähnt, dass bei den obigen Zugriffen keinerlei Authentifizierung nötig war, kein Benutzername, kein Passwort. Man darf sich also leise fragen, ob Internet Service Provider und Router-Hersteller mit Konzepten wie Privacy by Design vertraut sind. Man ist geneigt zu glauben, eher nicht.

In allen bekannten Fällen sieht es so aus, dass die Störungen und Ausfälle unter denen die betreffenden ISP-Kunden zu leiden hatten, durch den zusätzlichen Daten-Traffic verursacht worden sind. Immer mehr und mehr Router wurden mit Anfragen auf ihre Ports überschwemmt. Nach allem, was wir bisher wissen, hatte es die Annie-Wormware allerdings nicht auf Router-Funktionen als solche abgesehen. Das lässt den Schluss zu, dass der DDoS-Aspekt eine nicht intentionale Begleiterscheinung und Folge von Annie gewesen zu sein scheint. Es kursiert zusätzlich die Annahme, dass an diesem Angriff unterschiedliche Cybergangs beteiligt waren und sich verschiedener Mirai-ähnlicher Varianten bedient haben.

Die ultimative Absicht der Angriffe ist weiterhin nicht ganz eindeutig geklärt. Außer, dass man zeigen wollte, dass es überhaupt möglich ist Router in einem derartigen Ausmaß für einen Angriff auszunutzen. Talk Talk hat zügig ein Firmware-Update veröffentlicht, um den Bug im TR-064-Protokoll zu beseitigen und es nicht mehr möglich war auf den offenen Port zuzugreifen. Zusätzlich wurde das WiFi-Passwort auf die Standard-Werkseinstellungen zurückgesetzt (die man auf der Rückseite des Gerätes findet).

Wie schon am Beispiel der Mirai-Attacke auf Consumer-Kameras erläutert ist es keine schlechte Idee sich die Einstellungen der eigenen Firewall etwas genauer anzusehen. Wenn es keinen absolut triftigen Grund gibt eine Fernwartung oder Remote Verwaltung zu gestatten, oder andere spezielle Funktionen, sollte man solche öffentlichen Ports einfach entfernen. Wenn nur halbwegs jeder durchschnittliche Benutzer beim Verwalten seines WiFi-Netzwerks etwas sorgfältiger vorgegangen wäre hätte der Angriff niemals ein solches Ausmaß erlangen können.

Und wieder mal Passwörter....
Ken Munro, Gründer des Unternehmens Pentest Partners, bemerkte in den ursprünglichen Antworten von TalkTalk eine Schwachstelle. Und die weitaus meisten Benutzer verzichten schlicht darauf die WiFi-Passwörter aus den Standard-Werkseinstellungen tatsächlich zu ändern. Die von den Hackern eingesammelten Passwörter sollten also immer noch gültig sein.... Eine wenig Vertrauen erweckende Vorstellung. Eine Möglichkeit wie man solche Lücken auszunutzen kann ist das bekannte Wardriving.

Angreifer ermitteln beispielsweise mithilfe von wigle.net den Standort des gewünschten Routers und starten dann in räumlicher Nähe einen Angriff (wie das genau funktioniert haben wir mit Ken Munro besprochen).

Ein paar WiFi-Passwörter, SSID-Namen und wigle.net reichen folglich aus um im Hackergeschäft mitzumischen. Es ist durchaus vorstellbar, dass WiFi-Passwörter das eigentliche Ziel des Angriffs waren und Cyberkriminelle eine immense Zahl von Passwort-Listen jetzt im Dark Web zum Verkauf anbieten. Zum Jahreswechsel und darüber hinaus erwarteten Beratungsunternehmen massive CEO-Fraud-Angriffe. Man darf davon ausgehen, dass Passwörter, die in Zusammenhang mit Führungskräften, VIPs oder anderen erfolgversprechenden "Whaling"-Kandidaten stehen, im Dark Web gute Preise erzielen werden.

Jetzt sofort
Was also ist zu tun? Kunden von Talk Talk und anderen betroffenen ISPs tun gut daran ihre Passwörter so schnell wie möglich und für alle betroffenen Geräte zu ändern. Für alle anderen ist es vermutlich keine schlechte Idee die bestehenden WiFi-Passwörter von Zeit zu Zeit zu ändern und - wo gestattet - Horse-Battery-Staple-Techniken für möglichst unknackbare Passwörter einzusetzen. IT-Fachleute mögen einwenden, dass diese Tipps für Endverbraucher gut und schön sind, aber im Firmenumfeld keinerlei Relevanz haben. Bei dieser Argumentation sollte man sich aber vor Augen halten, dass Injection-Angriffe und die auch unter Profis grassierende "Defaultitis" zu einem Problem werden können.
(Varonis: ra)

eingetragen: 23.01.17
Home & Newsletterlauf: 14.02.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Volumetrische DDoS-Angriffe abwehren

    Experten sind sich einig. IoT-Geräte - gerade für Endverbraucher - bekommen mangelnde Sicherheit quasi automatisch mitgeliefert. Und wir in den letzten Wochen die Quittung. Für Sicherheitsspezialisten keine große Überraschung, sie warnen schon lange. Die jüngsten Angriffe aber haben gezeigt, in welche Dimensionen uns IoT-basierte Botnetze bei DDoS-Angriffen katapultieren und welche Schäden sie in der Lage sind anzurichten. Die Attacke auf den DNS-Provider Dyn im Oktober dieses Jahres war ein solcher Weckruf. Das prognostizierte Szenario ist keine bloß theoretische Annahme mehr, sondern real. Und es gibt Handlungsbedarf. Unternehmen und Verbraucher fragen sich angesichts einer steigenden Zahl von im Internet der Dinge verbundenen Geräten wie sie sich besser schützen können. Es ist kein großes Geheimnis, dass IoT-fähige Geräte aus sicherheitstechnischer Hinsicht wenig überzeugend sind. Die überwiegende Zahl von ihnen integriert kaum Sicherheitsmechanismen, und ist mit äußerst simplen Standard-Passwörtern ausgestattet. Das macht die Geräte für potenzielle Angreifer zu einer leichten Beute. Die Folge: Hacker machen sie beispielsweise zum Teil eines Botnetzes von dem DDoS-Angriffe mit enormer Bandbreite ausgehen können.

  • S/MIME und wie es funktioniert

    S/MIME, oder Secure/Multipurpose Internet Mail Extensions, ist eine relativ bekannte Technologie um E-Mails zu verschlüsseln. S/MIME basiert auf asymmetrischer Verschlüsselung, um E-Mails vor unerwünschtem Zugriff zu schützen. Zusätzlich dient S/MIME dazu E-Mails digital zu signieren, um den legitimen Absender einer Nachricht als solchen zu verifizieren. Das macht S/MIME zu einer effektiven Waffe gegen verschiedene Arten von Phishing-Angriffen. Das ist, kurz gefasst, worum bei S/MIME geht. Wenn es allerdings darum geht, S/MIME praktisch einzusetzen, taucht meist noch eine Reihe von Fragen beim Anwender auf.

  • Zugriffskontrolle & Berechtigungsmanagement

    Gesetze, Vorschriften und Konzepte sind immer nur so tragfähig sind wie die Menschen, die sie umsetzen sollen, tatsächlich dahinter stehen - und mehr noch: wie sehr die Beteiligten in die Entscheidungen mit einbezogen werden. Dr. Cavoukian, nach ihrer politischen Karriere inzwischen Executive Director of Ryerson University's Privacy and Big Data Institute hat maßgeblich das Privacy by Design-Konzept mit entwickelt. Darüber hinaus, und das ist es, was uns an dieser Stelle interessieren soll, haben ihre Sprachregelungen Eingang in die 2018 in Kraft tretenden EU-Datenschutz-Grundverordnung gefunden. Ihr Credo hat sich nach eigenen Aussagen in der Praxis bestens bewährt: "Sie würden vermutlich überrascht sein, wie sehr Kunden sich unter diesen Bedingungen im gesamten Prozess engagieren. Warum? Weil Sie zunächst eine Vertrauensbasis geschaffen haben. Und: Ihre Kunden fühlen sich mit ihrem Bedürfnis nach Privatsphäre und Datenschutz ernst genommen."

  • Schutz der Privatsphäre als Standard

    Dr. Ann Cavoukian, eine kanadische Datenschützerin, hat maßgeblich das Privacy by Design-Konzept mit entwickelt. Darüber hinaus, und das ist es, was uns an dieser Stelle interessieren soll, haben ihre Sprachregelungen Eingang in die 2018 in Kraft tretenden EU-Datenschutz-Grundverordnung gefunden. Privacy by Design ist übrigens ganz und gar keine neue Idee und wurde bereits 1990 entwickelt. Es erlangt allerdings vor allem in Bezug auf das Internet der Dinge wieder verstärkt Bedeutung. Gerade in der Wirtschaft war und ist allerdings vielfach zu hören, dass sich Privacy by Design-Grundsätze nur eingeschränkt mit technologischem Fortschritt und wirtschaftlicher Prosperität verbinden lassen. Das sieht Cavoukian, die auch Regierungsbehörden und Unternehmen berät, anders. Ihrer Meinung nach lässt sich ein Big Data-Anspruch sehr wohl mit dem Schutz der Privatsphäre verbinden. Die Botschaft von Cavoukian mutet simpel an, die ehemalige Politikerin und Wissenschaftlerin ist aber überzeugt, dass es möglich ist Daten zu erheben und gleichzeitig die Privatsphäre zu schützen.

  • DDoS-Angriffe, die unterschätzte Gefahr

    Distributed-Denial-of-Service (DDoS)-Attacken haben es in den letzten Monaten und Wochen zu einiger Popularität gebracht. Eine ganze Reihe von spektakuläre Angriffen hat die Headlines beherrscht (und das nicht nur wie sonst in den Fachmedien). Dazu gehörten beispielsweise die Angriffe auf fünf große russische Banken sowie das UK "FBI" wie The Register vermeldete. Und am Montag dieser Woche staatliche Server in Luxemburg. Im Licht dieser Attacken betrachtet wird schnell deutlich wieso es für Firmen und Institutionen so wichtig ist, sich vor den potenziellen und zum Teil nicht sofort ersichtlichen Folgen eines solchen Angriffs zu schützen. DDoS-Angriffe sind längst nicht mehr allein dazu da einen bestimmten Dienst, eine bestimmte Website, ein Unternehmen durch eine Flut von Serveranfragen lahm zu legen. Sie haben sich inzwischen deutlich weiter entwickelt und dienen immer häufiger dazu groß angelegte Cyberangriffe zu verschleiern. Dazu gehören alle Arten von Datenschutzverletzungen, die nicht zuletzt finanzielle Schäden anrichten.