- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Irgendwie Mirai und irgendwie nicht


Neue Mirai-Angriffe – Aber: Es geht noch immer um Passwörter
Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten


- Anzeigen -





Autor: Varonis

Ende letzten Jahres wurde bekannt, dass eine Mirai nicht unähnliche "Wormware" einen Angriff auf einen Internet Service Provider in Großbritannien lanciert hat. Insbesondere Talk Talk- und Post Office-Kunden meldeten Störungen und Internetausfälle. Wie schon beim ersten Vorfall bei dem sich das Mirai-Botnetz in erster Linie gekaperter Kameras aus dem Consumer-Bereich bediente wurde auch hier wieder ein offener Router-Port zum Einfallstor. Zwei wesentliche Aspekte haben die jüngsten Vorfälle bei Internet Service Providern gemeinsam: SQL Injection, ist eine immer noch real existierende IT-Sicherheitsplage, und Verbraucher sollten nun endlich dazu übergehen die Standard-Passwörter ihres Routers zu ändern.

Die jüngste Mirai-Attacke begann ebenfalls Ende des letzten Jahres in Deutschland als nahezu 900.000 Kunden der Deutschen Telekom Verbindungsstörungen ihrer Router meldeten. Danach schwappte der Angriff auf die britische Insel. Bei genauerem Hinsehen stellten Sicherheitsexperten jedoch einige Unterschiede fest. Die neue Variante der Mirai-Malware, "Annie" genannt, nutzte Port 7547 (eine öffentliche IP) und nicht den üblichen Telnet-Port 23. Wie unter Netzwerk- und Telekom-Spezialisten bekannt ist das der Port über den ISPs ihre Router fernwarten. Und zwar über das ominöseTR-064-Protokoll. Kurz zusammengefasst kommen die Nachforschungen und Analysen zu dem Ergebnis, dass die Angreifer das Protokoll direkt ausgenutzt haben, um WiFi-Passwörter der Router mitzuschneiden sowie die Namen der betreffenden Funknetzwerke oder SSIDs.

Um die ganze Sache noch ein bisschen schlimmer zu machen: Den Hackern war es gelungen ein nicht besonders gut implementiertes in TR-064-Kommando zu finden. Das erlaubte ihnen den Zugriff beziehungsweise gestattete es den Angreifern nun eigene Shell-Befehle zu injizieren. Diese Shell-Kommandos waren hauptsächlich verantwortlich für den Download und das Ausführen der Binaries vom C2-Server der Hacker. Dieser Server stieß den Prozess dann wieder und wieder an, um den Annie-Wurm möglichst schnell und weit zu verbreiten. Im Badcyber-Blog kann man eine gute Zusammenfassung des Vorfalls nachlesen.

Und das Ziel...?
Ganz nebenbei sei noch erwähnt, dass bei den obigen Zugriffen keinerlei Authentifizierung nötig war, kein Benutzername, kein Passwort. Man darf sich also leise fragen, ob Internet Service Provider und Router-Hersteller mit Konzepten wie Privacy by Design vertraut sind. Man ist geneigt zu glauben, eher nicht.

In allen bekannten Fällen sieht es so aus, dass die Störungen und Ausfälle unter denen die betreffenden ISP-Kunden zu leiden hatten, durch den zusätzlichen Daten-Traffic verursacht worden sind. Immer mehr und mehr Router wurden mit Anfragen auf ihre Ports überschwemmt. Nach allem, was wir bisher wissen, hatte es die Annie-Wormware allerdings nicht auf Router-Funktionen als solche abgesehen. Das lässt den Schluss zu, dass der DDoS-Aspekt eine nicht intentionale Begleiterscheinung und Folge von Annie gewesen zu sein scheint. Es kursiert zusätzlich die Annahme, dass an diesem Angriff unterschiedliche Cybergangs beteiligt waren und sich verschiedener Mirai-ähnlicher Varianten bedient haben.

Die ultimative Absicht der Angriffe ist weiterhin nicht ganz eindeutig geklärt. Außer, dass man zeigen wollte, dass es überhaupt möglich ist Router in einem derartigen Ausmaß für einen Angriff auszunutzen. Talk Talk hat zügig ein Firmware-Update veröffentlicht, um den Bug im TR-064-Protokoll zu beseitigen und es nicht mehr möglich war auf den offenen Port zuzugreifen. Zusätzlich wurde das WiFi-Passwort auf die Standard-Werkseinstellungen zurückgesetzt (die man auf der Rückseite des Gerätes findet).

Wie schon am Beispiel der Mirai-Attacke auf Consumer-Kameras erläutert ist es keine schlechte Idee sich die Einstellungen der eigenen Firewall etwas genauer anzusehen. Wenn es keinen absolut triftigen Grund gibt eine Fernwartung oder Remote Verwaltung zu gestatten, oder andere spezielle Funktionen, sollte man solche öffentlichen Ports einfach entfernen. Wenn nur halbwegs jeder durchschnittliche Benutzer beim Verwalten seines WiFi-Netzwerks etwas sorgfältiger vorgegangen wäre hätte der Angriff niemals ein solches Ausmaß erlangen können.

Und wieder mal Passwörter....
Ken Munro, Gründer des Unternehmens Pentest Partners, bemerkte in den ursprünglichen Antworten von TalkTalk eine Schwachstelle. Und die weitaus meisten Benutzer verzichten schlicht darauf die WiFi-Passwörter aus den Standard-Werkseinstellungen tatsächlich zu ändern. Die von den Hackern eingesammelten Passwörter sollten also immer noch gültig sein.... Eine wenig Vertrauen erweckende Vorstellung. Eine Möglichkeit wie man solche Lücken auszunutzen kann ist das bekannte Wardriving.

Angreifer ermitteln beispielsweise mithilfe von wigle.net den Standort des gewünschten Routers und starten dann in räumlicher Nähe einen Angriff (wie das genau funktioniert haben wir mit Ken Munro besprochen).

Ein paar WiFi-Passwörter, SSID-Namen und wigle.net reichen folglich aus um im Hackergeschäft mitzumischen. Es ist durchaus vorstellbar, dass WiFi-Passwörter das eigentliche Ziel des Angriffs waren und Cyberkriminelle eine immense Zahl von Passwort-Listen jetzt im Dark Web zum Verkauf anbieten. Zum Jahreswechsel und darüber hinaus erwarteten Beratungsunternehmen massive CEO-Fraud-Angriffe. Man darf davon ausgehen, dass Passwörter, die in Zusammenhang mit Führungskräften, VIPs oder anderen erfolgversprechenden "Whaling"-Kandidaten stehen, im Dark Web gute Preise erzielen werden.

Jetzt sofort
Was also ist zu tun? Kunden von Talk Talk und anderen betroffenen ISPs tun gut daran ihre Passwörter so schnell wie möglich und für alle betroffenen Geräte zu ändern. Für alle anderen ist es vermutlich keine schlechte Idee die bestehenden WiFi-Passwörter von Zeit zu Zeit zu ändern und - wo gestattet - Horse-Battery-Staple-Techniken für möglichst unknackbare Passwörter einzusetzen. IT-Fachleute mögen einwenden, dass diese Tipps für Endverbraucher gut und schön sind, aber im Firmenumfeld keinerlei Relevanz haben. Bei dieser Argumentation sollte man sich aber vor Augen halten, dass Injection-Angriffe und die auch unter Profis grassierende "Defaultitis" zu einem Problem werden können.
(Varonis: ra)

eingetragen: 23.01.17
Home & Newsletterlauf: 14.02.17


Varonis: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Grundlagen

  • Rollende Sicherheitslücken

    Viele Fahrzeuge sind heutzutage längst zu rollenden Computern geworden, denn bereits jetzt stecken in der Software eines modernen Oberklasse-PKW etwa 100 Millionen Codezeilen. Zum Vergleich: Die Flugsoftware einer Boeing 787 Dreamliner kommt mit etwa 14 Millionen Zeilen aus. Die Erwartungen an das zukünftige autonom fahrende Auto sind vielzählig: Mehr Sicherheit auf den Straßen, mehr Komfort, beispielsweise durch selbstständiges Einparken, die Nutzung eines Autopiloten im Stau oder komplett fahrerlose Roboterautos, welche im Car-Sharing-Verfahren neue Infrastrukturmöglichkeiten bieten könnten. Dem gegenüber stehen die Ängste: Bei Technikfehlern nur noch ein hilfloser Passagier an Board zu sein oder Opfer eines Hacker-Angriffs zu werden.

  • Warum BYOD an den Geräten scheitert

    Bring Your Own Device (BYOD) genießt im Geschäftsumfeld seit einigen Jahren den Ruf als innovatives Konzept. Der zeitlich uneingeschränkte Zugang zu Unternehmensdaten kann Firmen verbesserte Effizienz in den Arbeitsabläufen bescheren und den Mitarbeitern wiederum mehr Komfort im täglichen Arbeiten. Sie können auf ihren gewohnten Geräten arbeiten, zu flexiblen Arbeitszeiten. Insbesondere bei neu gegründeten Unternehmen, in denen die Mitarbeiter viel unterwegs sind, wird es überaus geschätzt, wenn kein weiteres, unternehmenseigenes Gerät mitgeführt werden muss. Die Zufriedenheit der Mitarbeiter mit der Arbeitsweise wiederum trägt auch zur Attraktivität des Unternehmens bei.

  • Offensichtlich lukrativste Angriffsmethode

    In regelmäßigen Abständen sehen wir uns einer neuen Bedrohung gegenüber, die bei Angreifern gerade Konjunktur hat. Gezielte Langzeitangriffe, sogenannte Advanced Persistent Threats (APTs) beherrschen die Schlagzeilen und Unternehmen beeilen sich, diese Attacken zu stoppen, deren Urheber sich gut versteckt durch das Netzwerk bewegen. Neben Phishing ist Ransomware die erfolgreichste und offensichtlich lukrativste Angriffsmethode für Cyber-Kriminelle. Schätzungen zufolge kosteten Ransomware-Scams die Opfer allein im letzten Jahr fast 1 Milliarde US-Dollar weltweit. Und es ist kein Wunder, dass sie so gut funktionieren: Sie beruhen auf dem althergebrachten Modell der Schutzgelderpressung, das bereits lange von Banden und der Mafia genutzt und jetzt in digitalem Format erfolgreich wieder aufgelegt wird. Die digitale Transformation ist nicht nur für Unternehmen Realität, sondern längst auch für Kriminelle eine lohnenswerte Einnahmequelle.

  • Detailliertes Profil der Angreifer entscheidend

    "Kill Chain" - dieser Begriff stammt eigentlich aus dem Militärjargon und bezeichnet ein Modell, das alle Phasen eines Angriffs beschreibt. Im Umkehrschluss zeigt es Wege auf, mit denen sich diese Angriffe vermeiden oder zumindest abschwächen lassen - eine Taktik, die auch hinsichtlich digitaler Bedrohungen und Hackangriffe interessant ist. Die Kill Chain digitaler Bedrohungen lässt sich in sieben verschiedene Phasen unterteilen.

  • Internet-Ausfall: Stationärer Handel in der Klemme

    In nur wenigen Bereichen hat sich in den letzten 30 Jahren so viel verändert wie im stationären Handel. Während manche Einzelhändler das Internet immer noch als Bedrohung empfinden, profitiert das Gros von vielen Vorteilen, die das World Wide Web mit sich bringt. Beispiel Kartenzahlungen: Sie wären ohne Internetanbindung gar nicht möglich. Somit ist für Einzelhändler eine kontinuierliche Internetverbindung essenziell, ja gerade überlebenswichtig. Umso schlimmer, wenn das Netz ausfällt. Doch für den unangenehmen Fall der Fälle gibt es gute Lösungen. Ohne Internet sind moderne Verkaufserlebnisse undenkbar: Zu den neueren Entwicklungen im Einzelhandel zählt das so genannte Omni-Channel-Retailing. Dabei nutzen Shops oder Filialen mehrere, vor allem onlinebasierte Kanäle, um dem Kunden ein optimales Verkaufserlebnis zu bieten. So beispielsweise der Reifenwechsel am Auto: Bei größeren Werkstätten und Werkstattketten ist es heute State-of-the-Art, dass der Kunde seine Wunschreifen und Felgen online bestellt, eventuell unterstützt durch eine telefonische Beratung. Nach dem Kauf vereinbart er dann über eine Webseitenschnittstelle gleich den Montagetermin. Die Werkstatt erhält die Terminanfrage in ihrem CRM und bestätigt per E-Mail. Zum Termin liegen die bestellten Reifen in der Werkstatt bereit und werden montiert.