Angriff auf Telekom-Router: Ausgenutzer Fehler war schon 20 Tage bekannt

“Die Telekom hat es verpasst, einen der größten Angriffe der deutschen IT-Geschichte auf ihre Kunden zu verhindern”, so das erste Fazit einer Analyse des Angriffs auf etwa 900.000 von dem Konzern seinen Kunden zur Verfügung gestellte Router durch Lion Nagenrauft, Cyber Security Analyst beim Münchner Unternehmen iT-CUBE Systems. Ihm zufolge sind, wie vom Bundesamt für Sicherheit in der Informationstechnik (BSI) bereits angedeutet, neben der Telekom auch mehrere andere Internetprovider in anderen Ländern betroffen, darunter Türk Telekom, Talktalkgroup, Dodo und Movistar. Sie hätten es alle versäumt zu überprüfen, ob ein am 7. November 2016 in einer bekannten Schwachstellendatenbank veröffentlichter Exploit für das Router-Modell Eir D1000 Wireless auch bei den von ihnen eingesetzten Routern funktioniert.

Der Angriff auf die Router zielte auf eine Schwachstelle innerhalb des Fernwartungsprotokolls. Dazu wurde ein am 7. November 2016 veröffentlichtes Metasploit-Modul verwendet, also eine Software, die die Schwachstelle automatisiert ausnutzen kann. Der Angriff soll Router mit Schadsoftware infizieren, um sie in das Botnetz Mirai zu integrieren. Nagenrauft vermutet aufgrund seiner Untersuchungen, dass “nicht nur die Angreifer mit eigenen Systemen nach verwundbaren Routern suchen, sondern dass infizierte Router ebenfalls nach neuen Opfern suchen.”

Nur wenige Minuten nach der Einrichtung versuchten bereits mehrere Angreifer Port 7547 auf dem Testsystem von IT-Cube Systems anzusprechen. (Screenshot: iT-CUBE Systems)

Aber nicht nur die Untätigkeit und Nachlässigkeit der Telekom und der anderen Provider im Vorfeld des Angriffs, sondern auch den Umgang mit dem Angriff, insbesondere die lange Zeit die verging, bis das Problem identifiziert wurde, kritisiert Nagenrauft. Als im Zuge der Berichterstattung über den Angriff bekannt wurde, dass Port 7547 (der Port der Fernwartungsschnittstelle), betroffen ist, habe er auf einem Testsystem den Port für potenzielle Angreifer geöffnet, um die von ihnen gesendeten Pakete mitschneiden und dann analysieren zu können. Diese sogenannten “Honeypots” wurden dann umgehend von Geräten mit dynamischen DSL-IP-Adressen wie “85.102.4.123.dynamic.ttnet.com.tr” und “189.58.196.6.dynamic.adsl.gvt.net.br” auszunutzen versucht. “Es hat nicht einmal fünf Minuten gedauert und drei verschiedene Angreifer waren bereits in unserem Honeypot gelandet”, so der Security-Experte.

Die Analyse der Schadsoftware durch IT-Cube Systems zeigt: Port 7547 wird von der Schadsoftware deaktiviert, um weitere Angriffe abzublocken und den Herstellern die Fernwartungsmöglichkeit zu nehmen. (Screenshot: IT-Cube Systems)
Redaktion

Recent Posts

Traditionelle Sicherheit versus Zero Trust-Architektur

Zero Trust richtig eingesetzt, kann es Organisationen bei der Umsetzung ihrer Transformation unterstützen, sagt Nathan…

11 Stunden ago

Router-Update legt Microsofts Online-Dienste lahm

Eigentlich sollte nur eine IP-Adresse geändert werden. Ein dazu benutzter Befehl legt über einen Router…

21 Stunden ago

Valide Ergebnisse in zehn Sekunden statt zwei Monaten

Feuerwehr Düsseldorf greift für die strategische Standortplanung auf ein geodatenbasiertes Tool zu.

1 Tag ago

Nürburgring auf Digitalisierungskurs

Die "Grüne Hölle" soll mithilfe Künstlicher Intelligenz noch sicherer werden.

1 Tag ago

Führungskräfte brauchen ökologisches Händchen

Gartner: 70 Prozent der Führungskräfte in der Technologiebeschaffung müssen bis 2026 Leistungsziele erreichen, die auf…

1 Tag ago

Deutsche sind klar Letzte in punkto Datenschutz

Cisco Consumer Privacy Survey zeigt: 57 Prozent der Deutschen sehen sich nicht in der Lage,…

2 Tagen ago